¿Cómo sucedió la violación de datos de
Uber que impactó a 57 millones de usuarios y cómo prevenirque
le suceda a tu negocio?
El año 2017 ha sido en el que ha habido
mayor violación de datos en los sectores
de negocios y alrededor de todo el mundo de acuerdo a los expertos de seguridad informática de Webimprints. Uno de los más
recientes incluye a la compañía Uber, que pagó $100,000 USD a hackers para
ayudar a cubrir la pérdida de datos de más de 50 millones de usuarios. ¿Cómo se
pudo haber prevenido esta falla?
¿Cómo sucedió el hackeo de Uber?
Uber admitió públicamente haber sufrido
un incidente con la seguridad en la información en su blog en día 21 de
Noviembre del 2017, Bloomberg primeramente publico noticias del hackeo, y
anunció que dos hackers accesaron a a los códigos GitHub utilizados por Uber y
encontraron credenciales de acceso para la cuenta Uber’s Amazon Web Services (AWS).
Los desarrolladores de Uber publicaron un código GitHub que incluía
credenciales para la empresa de Uber. Las credenciales le permitieron a los
hackers accesos privilegiados de la cuenta a la red de Uber. Los hackers
pudieron bajar la información de los usuarios directamente del AWS, y
posteriormente pedir el pago de rescate a Uber. Uber pagó $100,000 en Bitcoin a través de HackerOne, un sitio de bug bounty
menciona Jim Gil, un experto de seguridad
informática de International Institute
of Cyber Security (IICS). Uber después pudo identificar al hacker mediante el proceso de pago a
través de HackerOne para después lograr que firmaran un acuerdo de
confidencialidad. El hacker firmó un NDA y un consentimiento para destruir la
información robada. El ataque se hizo público la semana pasada, después de más
de un año de que sucedió.
¿Qué información se perdió en este
ataque?
Se incluía información personal de 57
millones de usuarios de alrededor del mundo, según el blog publicado acerca del
incidente. También incluía números de licencia de 600,000 conductores de Uber
en los Estados Unidos.Uber anunció que información más delicada como
localización, números de tarjetas de crédito, números del banco, o seguros
sociales y fechas de nacimiento no estuvieron comprometidas.
Uber encubrió el hackeo de la
información de lo usuarios.
El actual CEO y co-fundador de UberTravisKalanick,
supo de la filtración de información en Noviembre 2016, un mes después de lo
ocurrido. Sin embargo, él y su equipo decidieron no informar acerca de el hackeo, realizando los
pagos mediante el sitio de bug bounty y actuando como si las fallas fueran
parte del sistema. El nuevo CEO de Uber, Dara Khosrowshahi, supo de la falla en
septiembre 2017, dos semanas después de haber tomado su cargo e inmediatamente
ordenó una investigación exhaustiva. Después de que la filtración de información
se hizo pública, despidió a su jefe de seguridad y uno de sus encargados por haber ayudado a encubrir el
ataque. Joe Sullivan el sobresaliente CSO fue el responsable de separar los
asuntos de confidencialidad de la información y del manejo de la información del
consumidor. Una reciente investigación de la misma empresa hacia sus
operaciones descubrió el ataque y su caso omiso a comunicarlo.
Una de las cosas que la nueva
CEO,Khosrowshahi, hizo bien después de enterarse del ataque, fue contratar
ayuda de terceros para el tema legal. MattOlsen, abogado del departamento jurídico del
National Security Agency, reorganizará al equipo de seguridad de la empresa,
mientras dirigen una investigación independiente acerca de la mencionada
violación de datos.
La paga de Uber hacia los atacantes, ha
tenido diversas opiniones de los expertos. El experto en seguridad Brain Krebs,
la comparó a un pago por ransomware. Otros elogiaron a la compañía por haber
pagado para proteger la información de sus clientes. Lo peor del caso ha sido
la falla en compartir la información de lo sucedido. Debido a esto, Uber incumplió las leyes de divulgación en
varios Estados. Además, Uber cubrió las fallas mientras estaban negociando un
acuerdo con FTC acerca del manejo de información de sus usuarios, cuando Uber
incumplió la divulgación de información en el 2014.
Como resultado, Uber ahora sostiene 3
posibles demandas, al menos 5 investigaciones del procurador del estado y una
investigación del FTC. Entidades internacionales están de la mano investigando
con la European data
protectionauthorities a partir de noviembre. El congreso se ve igualmente involucrado
pues ha llamado a los líderes de la empresa Uber a hacer declaraciones. Se
levantó un ticket el 30 de Noviembre por la Data Security and BreachNotificationAct,
en el que se ordena que las empresas deben reportar las brechas o violaciones a
su seguridad en un rango de 30 días, y condenando a 5 años de prisión a quienes
escondan mencionadas fallas.
Uber se encuentra actualmente en un
proceso de evaluación para incrementar su inversión mediante SoftBank, pero con
los planes de que la noticia se haga pública para el 2018, se prevé un impacto
negativo en la evaluación de la compañía.
5 tácticas de defensa para prevenir
hackeos como el de Uber
Varias tácticas de defensa hubieran sido
efectivas para proveer la perdida de información que tuvo Uber:
1. Autenticación Multifactor. los hackers de Uber tuvieron sus accesos
tanto a GitHub como a AWS inmediatamente, No fue dicho como fue que pudieron
accesar, pero las credenciales legitimas de Uber con las que se tiene acceso se
ven comprometidas. Al implementar autenticación multi-factor, reviene que un
hacker obtenga acceso a los sistemas específicos, aun cuando se comprometan
credenciales legítimas. Un time-basedsofttoken, hardtoken, SMS (mensajes de
texto) o card-basedtoken son maneras efectivas de asegurar los ingresos y puede
ayudar a proveer posibles ataques en sistemas vulnerables.
2. Menor privilegio. Los hackers usaron credenciales de un
administrador encontradas en GitHub para acceder al AWS de Uber y filtrar
millones de récords de información vulnerable. Una de las estrategias para
prevenir este tipo de filtración es restringir los privilegios para los
usuarios y administradores de la cuenta. Implementando éste principio, el
administrador no tendrá derechos a la información vulnerable dentro de AWS y
accesará mediante GitHub. Teniendo este tipo de restricciones, el impacto de
una pérdida de la cuenta será mínimo.
3. Evaluación del peligro. Otra de las maneras sería que mediante
ciberseguridad, realizar análisis de seguridad informáticamencionó Jim Gil, un experto de seguridad informática de
International Institute of Cyber Security (IICS). Las compañías pueden revisar sus bienes
y sus riesgos para determinar las áreas en las que se necesita mayor control de
seguridad. Para Uber esta podría ser los accesos para GitHub y AWS y los
depósitos de información vulnerable dentro de AWS, ambos en los que se vería
beneficiado por las medidas de acceso controlado.
4. Monitoreo de seguridad mediante la nube.
Uber no sabía de la
filtración de datos si no hasta que el hacker los contactó vía e-mail para
pedir el rescate..Servicios de Nube,
especialmente aquellos que contengan información vulnerable. Si
dicho monitoreo estuviera al alcance, Uber hubiera detectado el acceso y la
filtración de la información de su red.
5. Controles de seguridad. Basarse en los riesgos es la manera más
efectiva para que las compañías aumenten su inverso en la seguridad informática
mencionó Jim Gil, un experto de seguridad informática de International Institute of Cyber
Security (IICS). Realizando una valoración para determinar las áreas de riesgo,
los negocios pueden apartar una inversión y esfuerzo a los controles de
seguridad que proveerán una reducción considerable en los mencionados riesgos. NIST, CIS/SANS 20 o ISO
27001proveen controles efectivos
que pueden ser utilizados en este proceso.
Conclusión
A Uber le hizo falta controles de
seguridad fundamentales que pudieron haber prevenido la pérdida de 57 millones
de récords de información de sus usuarios explica Jim
Gil, un experto de seguridad
informáticade International Institute
of Cyber Security (IICS). Accesos remotos y cuentas privilegiadas son dos de
los mayores objetivos para los hackers así como vectores de amenaza que
necesiten un mayor control de seguridad, Mientras que el pago de Uber a los
hackers ayudó a evitar que la información de sus usuarios fuera conocida, su
falla en dar a conocer el ataque durante casi un año tendrá repercusiones
legales, financieras y en la reputación de la compañía.
0 comments:
Post a Comment