Adatokat loptak az Ubertől

Az Uber hivatalosan is elismerte, hogy egy adatbiztonsági incidens következtében 50 ezer felhasználójának adatai kerülhettek illetéktelen kezekbe. Elsősorban jogosítványokkal kapcsolatos információk szivároghattak ki.
 

Úgy tűnik, hogy a világszerte egyre népszerűbbé váló - igaz eközben mind több kritikát kiváltó - Uber sem kerülte el az adattolvajok figyelmét. Kiderült ugyanis, hogy a "taxis" szolgáltatáshoz tartozó adatbázishoz még tavaly illetéktelenek fértek hozzá. Ennek következtében bizalmas felhasználói információk váltak kiszolgáltatottá. Az eddigi vizsgálatok szerint legalább 50 ezerre tehető az érintett személyek száma.
 
Az Uber részéről Katherine Tassi, a vállalat adatvédelemért felelős vezetője ismerte el, hogy az incidens valóban megtörtént. A nyilatkozatából kiderült, hogy az elkövetők (akiknek pontos kilétét nem tárta fel) 2014. május 13-án hozzáfértek az egyik bizalmas adatokat tároló alkalmazáshoz. Erre a nemkívánatos eseményre azonban csak tavaly szeptember 17-én lett figyelmes az Uber, és akkor rögtön vizsgálatot kezdeményezett. Ezzel párhuzamosan változtatott az adatbázisához kötődő hozzáférés-kezelési szabályain, és felszámolta azokat a potenciális veszélyforrásokat, gyenge pontokat, amelyek hozzájárulhattak a támadáshoz. Amikor pedig tisztulni kezdett a kép, akkor minden érintettek értesített.  
Tassi közölte, hogy az adatbiztonsági incidens körülbelül 50 ezer regisztrált felhasználót érintethetett hátrányosan, amikor az elkövetők jogosítványszámokat kérdeztek le a rendszerből. Tassi ugyan hozzátette, hogy ez a szám csak egy kis szelete a teljes felhasználói bázisnak, de nyilván mindez nem vigasztalja azokat, akiknek az adatai veszélybe kerültek. Tudja ezt az Uber is, és az érintett személyek számára egy éves hitelkártya-monitorozó szolgáltatásra fizetett elő. Ugyanakkor hangsúlyozta, hogy eddig semmiféle olyan információ nem merült fel, amely azt támasztaná alá, hogy a kiszivárgott adatokkal bárki visszaélt volna.
 
Az Uber esete kapcsán érdemes megemlíteni, hogy az nem egy APT-típusú támadás volt abból a szempontból, hogy az elkövetők nem hosszan tartó, huzamosabb ideig végrehajtott adatszivárogtatást végeztek. A vizsgálatok szerint ugyanis egy egyszeri adatbázis-hozzáférésről volt szó. Az viszont ebben az esetben is igaz, hogy az incidens felfedezésére hónapokra volt szükség, így a megfelelő védelmi intézkedések meghozatala, illetve az incidensreagálás is elhúzódott.