Persoonlijke gegevens 50 miljoen Uber-klanten in 2016 gestolen
Twee aanvallers hebben vorig jaar de gegevens van 50 miljoen Uber-klanten gestolen, alsmede de data van 7 miljoen chauffeurs. Uber betaalde de aanvallers 100.000 dollar om de gestolen data te verwijderen, aldus Bloomberg. Volgens Uber was de hack door twee personen uitgevoerd en wisten die namen, e-mailadressen en mobiele telefoonnummers te stelen.
In het geval van 600.000 Amerikaanse chauffeurs ging het ook om rijbewijsnummers. Ritgegevens, creditcardnummers, geboortedata, social security nummers of andere data zouden niet zijn buitgemaakt. In een pagina over het incident laat Uber weten dat het de twee personen in kwestie wist te identificeren en de garantie kreeg dat de gedownloade data werd vernietigd. Uber erkent dat het toezichthouders alsmede klanten destijds niet heeft ingelicht. Het bedrijf zegt alle chauffeurs en toezichthouders alsnog te zullen waarschuwen.
Volgens Bloomberg wisten de aanvallers toegang tot de private GitHub-pagina van Uber te krijgen. Inloggegevens die ze daar vonden werden gebruikt om toegang te krijgen tot data die Uber bij Amazon Web Services had opgeslagen, waaronder de data van klanten en chauffeurs. De aanvallers stuurden Uber vervolgens een e-mail waarin ze om geld vroegen. Vanwege het verzwijgen van het datalek heeft Uber chief of security Joe Sullivan en een andere medewerker gisteren op staande voet ontslagen.
Update
De Britse privacytoezichthouder ICO zegt zich zorgen te maken over het databeschermingsbeleid en ethiek van Uber. "Het is altijd de verantwoordelijkheid van het bedrijf om te achterhalen wanneer Britse burgers zijn getroffen door een datalek en maatregelen te nemen om de schade voor consumenten te beperken", aldus James Dipple-Johnstone van de ICO. "Het opzettelijk verbergen van datalekken voor toezichthouders en burgers kan hogere boetes voor bedrijven betekenen."
Dat helpt niet, Uber heeft miljarden te besteden, dit is gewoon een kwestie van prioriteiten stellen, gewoon hele bedrijf plat leggen. Dan wordt er pas serieus naar privacy en security gekeken.
De eerste keer was in mei 2014. De Federal Trade Commission kwam afgelopen zomer tot het oordeel dat er bij Uber heel veel gebrek is aan beveiliging maar Uber doet in communicatie wel geloven dat ze persoonsgegevens goed beveiligen.
Uber bestaat sinds 2009 en pas in 2015, meer dan een jaar na het eerste lek, hebben ze hun eerste security officer in dienst genomen. Een voormalig federal prosecuter. De onlangs vervangen CEO wist van het lek maar het kwam ze tijdens het onderzoek van de FTC naar de gang van zaken van het 2014 lek beter uit om geld te betalen om er over te zwijgen.
Het nu ontslaan van de chief security officer lijkt verdacht veel op een makkelijke uitweg voor zowel Uber als de chief security officer. Kunnen ze als goedkoop verweer gebruiken dat ze nog meer maatregelen hebben getroffen om de bescherming van de persoonsgegevens te verbeteren.
Een boete die er nu wel aan zit te komen zal niet snel indruk maken op de investeerders als Google en Baidu. De klanten van Uber blijven de dienst toch massaal gebruiken omdat het goedkoop is en de chauffeurs verdienen makkelijk geld zonder veel te hoeven kunnen.
– Jan Smets, Security Specialist bij Gemalto
Geheel terecht dat de chief van security ontslag heeft gekregen voor het verzwijgen van dit lek.
Geheel terecht dat de chief van security ontslag heeft gekregen voor het verzwijgen van dit lek.
Als (ex-) cso bij een overheidsleverancier durf ik te stellen dat de kans heel groot is dat hij het MOEST verzwijgen van de directie. Dat is mij ook overkomen, er werd een niet veilig app gelanceerd, klanten stelden vragen over de beveiliging bij mij (aangezien ik ook richting hun het aanspreek punt was over de security) en mijn baas stond naast me te vertellen dat ik wel moest zeggen dat alles veilig was, toen ik dit weigerde, omdat ik niet wou liegen want dat zou mij mijn security+ certified professional certificering kosten, werd ik er zo snel mogelijk uitgegooid daarna.
Note ik was aangenomen omdat ik bij een freelance security scan van hun systemen (in opdracht dus) in nog geen half uur hun mysql root wachtwoord wist te vinden en dat ook het root wachtwoord van al hun servers bleek te zijn.
Dus roep niet te snel dat hij een slechte SCO was, de kans is net zo groot dat hij gewoon bang was om werkeloos te worden en zich heeft laten intimideren door de directie van het bedrijf.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
