Silence radio. Neuf heures (ce vendredi à 13h, heure luxembourgeoise) après avoir confirmé les révélations du New York Times, Uber n’a plus rien dit sur le piratage dont la société de transport fait l’objet.
, un hacker est parvenu à se faire passer pour un informaticien de la société et à obtenir les login et mot de passe d’un employé, ce qui lui aurait permis d’accéder à la totalité des outils de l’entreprise via l’application collaborative Slack.
De nombreuses captures d’écran circulent, notamment sur Twitter, pour étayer ce piratage, mais il faut toujours s’en méfier, d’autant qu’Uber avait déjà été piraté en 2016, l’entreprise ayant alors tenté de dissimuler le problème pour éviter les poursuites. Les données de 57 millions d’utilisateurs avaient été extraites, et Uber avait accepté de payer 100.000 dollars pour qu’elles ne soient ni vendues ni publiées.
Prudence avec les SMS et les mails d’Uber
Là où la situation se complique aujourd’hui, c’est que, , le pirate aurait eu accès à toutes les informations contenues dans le programme de récompense d’Uber. Pour faire simple, de nombreuses sociétés offrent des primes, très variables, selon la nature des problèmes informatiques qui sont découverts par des hackers. Une bonne pratique consiste à s’adresser à l’entreprise, qui va vérifier la vulnérabilité potentielle et corriger son code informatique, avant de donner la prime.
Selon certaines sources, toutes les vulnérabilités qui figuraient dans cette section n’auraient pas été corrigées, ce qui leur donne une valeur précieuse pour d’autres attaquants.
Selon le NYT et Bleeping, l’attaquant aurait eu accès à une masse de données personnelles très importantes, qui concernent à la fois les chauffeurs et leurs clients. Que faire si vous êtes client? Être prudent avant de répondre à une sollicitation par SMS ou par mail qui viendrait d’Uber et changer son mot de passe, toujours en le rendant aussi complexe que possible (nombre de caractères, majuscules et minuscules, chiffres et caractères spéciaux et aucun nom de proche ou date de naissance).