Les jours se suivent et se ressemblent chez Uber. L’entreprise de mise en relation de véhicules avec chauffeurs et de particuliers connaît mois après mois de nombreux problèmes. Engagée dans plusieurs procès à travers le monde et en proie à plusieurs crises internes, l’entreprise pourrait voir son image être encore écornée à la suite de cette affaire de piratage de données parvenue à la connaissance du public.
En effet, vers la fin du mois de novembre, le PDG de l’entreprise de VTC, Dara Khosrowshahi, a rapporté que deux pirates informatiques ont volé les données personnelles de 57 millions de clients et de chauffeurs d’Uber Technologies Inc. Le fait le plus aggravant est que cette violation de données était connue de son chef de sécurité, Joe Sullivan, et de l’un de ses adjoints, Craig Clark, depuis 2016. Pour couvrir certaines actions, ces derniers ont passé sous silence ces faits et ont effectué un paiement de 100 000 dollars aux pirates informatiques en leur demandant de supprimer les données en leur possession.
Après avoir récemment appris l’accès non autorisé aux données de l’entreprise stockées sur la plateforme cloud d’Amazon ainsi que la dissimulation de cet incident par certains responsables de la sécurité informatique de l’entreprise, le PDG d’Uber a effectué un communiqué pour rassurer les chauffeurs et utilisateurs que des actions ont été prises depuis lors pour sécuriser les données et mettre fin à l’accès non autorisé. En outre, les deux responsables de sécurité qui se sont montrés fautifs en en étouffant l’affaire du piratage ont été limogés, car selon le directeur général d’Uber, l’incident aurait dû être révélé aux régulateurs au moment de sa découverte.
Mais loin d’être satisfaits par les actions correctives de l’entreprise, de nombreux médias y compris Reuters ont mené leurs enquêtes afin de faire la lumière sur cet incident. Après avoir creusé sur cette affaire, Reuters rapporte qu’un des deux pirates informatiques impliqués dans le vol des données serait un homme âgé de 20 ans qui a reçu le montant indiqué (100 000 dollars) sous forme de récompense donnée à travers le programme de bug bounty organisé par l’entreprise. Une source de Reuters décrit le hacker comme « vivant avec sa mère dans une petite maison en essayant d’aider à payer les factures ». Reuters ajoute que les membres de l’équipe de sécurité d’Uber ne voulaient pas poursuivre une personne qui semblait ne pas constituer une menace véritable.
En s’appuyant sur deux de ses sources, Reuters rapporte qu’Uber a fait le paiement pour confirmer l’identité du hacker et lui faire signer un accord de non-divulgation pour dissuader d’autres actes répréhensibles. Uber a également effectué une analyse de la machine du pirate informatique pour s’assurer que les données avaient été purgées, selon les sources.
En principe, les programmes de bug bounty sont organisés pour motiver les experts en sécurité et autres chercheurs à dénicher de nouvelles failles qui pourraient être exploitées par des acteurs malveillants afin de mettre à mal les affaires d’une entreprise. Selon un ancien dirigeant de HackerOne, qui héberge le service de bug bounty d’Uber, les primes de récompense pour la découverte de failles se situent en général entre 5000 et 10 000 dollars. Un paiement de 100 000 dollars par un programme de primes de bogue serait extrêmement inhabituel et représenterait un « record absolu » dans le domaine des découvertes de failles. Cet avis est également partagé par Katie Moussouris, ancien cadre de HackerOne, qui estime que le versement de 100 000 $ d’Uber et le silence à ce moment-là étaient extraordinaires dans le cadre d’un tel programme. « Si cela avait été un bogue légitime, il aurait été idéal pour tous les participants de le crier sur les toits », a déclaré Moussouris. Le fait qu’Uber n’ait pas signalé la violation aux régulateurs, même si elle avait peut-être l’impression d’avoir réglé le problème, était une erreur, selon des personnes à l’intérieur et à l’extérieur de l’entreprise qui ont échangé avec Reuters.
Le hacker qui vivrait en Floride aurait payé une deuxième personne pour les services qui impliquaient l’accès à la plateforme d’hébergement de code GitHub afin d’obtenir des informations d’accès aux données Uber stockées ailleurs, a indiqué l’une des sources de Reuters. Mais du côté de GitHub, les responsables de la plateforme ont indiqué que l’attaque n’impliquait pas une défaillance de ses systèmes de sécurité.
Une dernière chose à noter dans cet incident, c’est qu’en général le décaissement de 100 000 dollars dans une entreprise sérieuse ne peut se faire sans l’accord préalable d’un certain nombre de hauts dirigeants. Reuters rapporte que selon certaines sources non divulguées, le PDG d’alors, Travis Kalanick, aurait été informé de la violation et du paiement effectué aux pirates. Kalanick, qui a démissionné en tant que PDG d’Uber en juin, a refusé de commenter l’affaire, rapporte Reuters.
Comment jugez-vous le règlement de cet incident par Uber ?
Quelle est votre perception d’Uber après ce énième incident rapporté ?
