Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Filtración de datos de Uber
Filtración de datos de Uber
La filtración de datos de Uber en 2016 es un caso de manual de cómo no manejar un ciberataque. En lugar de ser transparente, la empresa pagó a los hackers para que borraran los datos robados y guardaran silencio. Esta filtración expuso la información personal de decenas de millones de usuarios y conductores, lo que llevó a multas millonarias, problemas legales para su CSO y un duro golpe a la confianza del público. Toda una historia.
Filtración de datos de Uber explicada: ¿qué pasó?
A fines de 2016, dos atacantes accedieron y descargaron una enorme cantidad de datos de usuarios y conductores de Uber almacenados en un servicio cloud de terceros. Los datos incluían nombres, direcciones de correo electrónico y números de teléfono de millones de personas en todo el mundo. En lugar de revelar la filtración, los directivos de Uber, incluido su entonces director de Seguridad, pagaron $100.000 a los hackers para que borraran los datos y firmaran un acuerdo de confidencialidad. Vaya error.
¿Cuándo ocurrió la filtración de datos de Uber?
La filtración ocurrió en octubre de 2016. Sin embargo, Uber la mantuvo en secreto por más de un año, y solo la reveló públicamente en noviembre de 2017, tras un cambio en la dirección de la empresa. Esta demora en la notificación fue un punto de gran controversia para los reguladores y el público.
¿Quién hackeó a Uber?
Dos personas fueron responsables del ataque. Más tarde fueron identificadas, y los documentos judiciales revelaron que Uber les pagó a través de su programa de recompensas por errores para ocultar la brecha. El pago se disfrazó como una recompensa por descubrir una vulnerabilidad de seguridad, una maniobra que metió al exCISO de Uber en problemas con los fiscales federales.
¿Cómo ocurrió la filtración de Uber?
El vector de ataque fue sorprendentemente simple: credenciales comprometidas. Los atacantes encontraron claves de acceso de AWS codificadas directamente en un repositorio privado de GitHub perteneciente a un ingeniero de Uber. A partir de ahí, pudieron acceder y descargar datos sensibles de un bucket de Amazon S3. Es un ejemplo clásico de por qué dejar secretos en tu código es una pésima idea.
Cronología de la filtración de datos de Uber
Octubre de 2016: Los atacantes obtienen acceso al bucket de S3 de AWS de Uber usando credenciales robadas encontradas en GitHub. Descargan datos que afectan a 57 millones de usuarios y conductores.
Finales de 2016: Uber contacta a los hackers y les paga $100.000 para que eliminen los datos y firmen un acuerdo de confidencialidad, presentándolo como un pago de recompensa por errores.
Noviembre de 2017: Bajo un nuevo liderazgo, Uber revela públicamente la filtración, un año después de que ocurriera. La empresa despide a su CSO, Joe Sullivan, y a otro abogado sénior de seguridad.
Abril de 2018: Uber llega a un acuerdo con la Comisión Federal de Comercio (FTC) por la filtración, aceptando una supervisión ampliada en materia de privacidad y seguridad.
Septiembre de 2018: Uber acepta un acuerdo de $148 millones con los 50 estados y el Distrito de Columbia por no presentar un informe oportuno de la filtración.
Octubre de 2022: El exCSO Joe Sullivan es declarado culpable de obstrucción a la justicia por su papel en el encubrimiento de la filtración.
Detalles técnicos
Los atacantes no necesitaron malware sofisticado ni exploits de zero-day. Simplemente escanearon GitHub en busca de los repositorios de Uber y encontraron lo que buscaban: credenciales de AWS dejadas en el código por un desarrollador. Una vez que tuvieron estas claves, obtuvieron acceso privilegiado a los buckets de S3 de Uber. Esto les permitió extraer una copia de seguridad completa de la base de datos que contenía información sensible de usuarios y conductores.
Indicadores de compromiso (IoC)
Dada la naturaleza del ataque y el posterior encubrimiento, no se hicieron públicos indicadores técnicos específicos como direcciones IP o hashes de archivos. El indicador principal fue el acceso no autorizado al entorno de AWS de Uber desde fuera de la infraestructura conocida de la empresa. La lección clave aquí no es un hash, sino una enseñanza: no codifiques credenciales directamente en el código.
Investigación forense y de incidentes
La investigación interna de Uber, realizada después de que el nuevo liderazgo asumiera el control, confirmó los detalles de la filtración y el posterior encubrimiento. La investigación reveló que el CSO y otros ejecutivos ocultaron intencionalmente el incidente a los reguladores y al público. Los esfuerzos de remediación de la empresa incluyeron el despido de los empleados involucrados y la contratación de Mandiant, una firma externa de ciberseguridad, para realizar una evaluación independiente de sus prácticas de seguridad.
¿Qué datos se vieron comprometidos en la filtración de Uber?
Los atacantes obtuvieron una cantidad importante de información de identificación personal (PII). Los datos comprometidos incluían:
Para 57 millones de usuarios en todo el mundo: nombres, direcciones de correo electrónico y números de teléfono celular.
Para 600,000 conductores en EE. UU.: nombres, direcciones de correo electrónico, números de teléfono y números de licencia de conducir.
Por suerte, según los informes, no se accedió a datos más sensibles como el historial de viajes, la información de tarjetas de crédito ni los números de seguro social.
¿A cuántas personas afectó la filtración de datos de Uber?
La filtración afectó a un total de 57 millones de usuarios y conductores de Uber en todo el mundo. Esto incluyó la información personal de aproximadamente 50 millones de pasajeros y 7 millones de conductores, con 600.000 de esos conductores ubicados en Estados Unidos.
¿Se expuso mi información en la filtración de datos de Uber?
Uber afirmó que "no había visto evidencia de fraude o uso indebido relacionado con el incidente". La empresa ofreció a los conductores afectados monitoreo de crédito gratuito y protección contra el robo de identidad. Al momento de la divulgación, Uber no ofreció una herramienta de búsqueda para que las personas verificaran si sus datos estaban involucrados. Se enviaron notificaciones a los conductores afectados cuyos números de licencia fueron expuestos.
Principales impactos de la filtración de Uber
Las consecuencias para Uber fueron graves y de varios tipos:
Pérdida financiera: La empresa pagó un acuerdo de $148 millones a 50 estados de EE. UU. y un rescate de $100.000 a los hackers. Esto ni siquiera incluye los honorarios legales y los costos de implementar nuevas medidas de seguridad.
Daño reputacional: El encubrimiento fue una pesadilla de relaciones públicas. Destruyó la confianza de los clientes, los conductores y el público, mostrando a Uber como una empresa que priorizaba su imagen por encima de la seguridad de los usuarios.
Consecuencias legales y regulatorias: La filtración provocó múltiples investigaciones gubernamentales, un cuantioso acuerdo con la FTC y la condena de su exdirector de seguridad. El mensaje fue claro: encubrir una filtración suele ser peor que la filtración misma.
Respuesta a la filtración de datos de Uber
Una vez que la filtración se hizo pública en 2017, el nuevo liderazgo de Uber tomó varias medidas para gestionar las consecuencias. Se disculparon públicamente, despidieron a los ejecutivos responsables del encubrimiento y notificaron a las autoridades regulatorias. Uber también comenzó a notificar a los conductores afectados y les brindó servicios de protección contra el robo de identidad. La empresa se comprometió a implementar cambios significativos en su cultura corporativa y en sus prácticas de seguridad de datos.
Lecciones de la filtración de datos de Uber
Este incidente está lleno de lecciones valiosas para cualquier organización.
La transparencia no es negociable: Ocultar una filtración es la receta para el desastre. La comunicación oportuna y transparente con las partes afectadas y los reguladores es fundamental para mantener la confianza y mitigar el daño a largo plazo.
La seguridad es responsabilidad de todos: Los desarrolladores deben estar capacitados en prácticas de codificación segura, incluyendo nunca codificar credenciales o secretos directamente en el código fuente.
El riesgo de terceros es tu riesgo: Los datos almacenados en la cloud siguen siendo tu responsabilidad. Los controles de acceso robustos y el monitoreo de los entornos en la cloud son esenciales.
Los programas de recompensas por errores son para errores, no para rescates: No intentes disfrazar un pago de rescate como una recompensa por errores. Es poco ético, ilegal y te traerá consecuencias.
¿Es seguro Uber después de la filtración?
Tras el incidente de 2016, Uber invirtió fuertemente en renovar su programa de seguridad. La empresa contrató a nuevos líderes de seguridad, se sometió a auditorías independientes de terceros como parte de su acuerdo con la FTC, e implementó controles de seguridad de datos más robustos. Aunque ninguna empresa puede ser 100% "segura", Uber ha tomado medidas importantes y legalmente exigidas para madurar la postura de seguridad.
Estrategias de mitigación y prevención
No dejes que lo que le pasó a Uber te pase a ti. Aquí tienes algunos pasos prácticos para reforzar tus defensas:
Implementa la autenticación multifactor (MFA): Aplica MFA en todos los sistemas críticos, especialmente en las consolas en la nube y los repositorios de código.
Gestión de secretos: Usa una solución de gestión de secretos como HashiCorp Vault o AWS Secrets Manager. Nunca, bajo ninguna circunstancia, pongas credenciales directamente en tu código.
Gestión de la postura de seguridad en la nube (CSPM): Escanea regularmente tus entornos en la nube en busca de configuraciones incorrectas, permisos excesivos y datos expuestos públicamente.
Security Awareness Training: Capacita a tus desarrolladores y personal de TI en prácticas de codificación segura y los riesgos de exponer credenciales.
Plan de respuesta a incidentes: Ten un plan claro y probado sobre cómo responder a una brecha. Asegúrate de que incluya la divulgación oportuna a los reguladores y a las personas afectadas.
Preguntas frecuentes sobre la filtración de datos de Uber
La filtración ocurrió porque los atacantes encontraron credenciales de administrador para la cuenta de Amazon Web Services (AWS) de Uber codificadas directamente dentro de un repositorio privado de GitHub. Esto les dio acceso a un bucket de S3 que contenía archivos con datos de usuarios y conductores, los cuales descargaron.
La filtración expuso los nombres, direcciones de correo electrónico y números de teléfono de 57 millones de usuarios y conductores a nivel mundial. Para aproximadamente 600.000 conductores de EE. UU., los datos expuestos también incluyeron sus números de licencia de conducir.
Dos personas llevaron a cabo el ataque. En lugar de denunciarlos, el exdirector de seguridad de Uber les pagó $100.000 a través del programa de recompensas por errores de la empresa para que eliminaran los datos y guardaran silencio sobre el incidente.
Las empresas pueden prevenir filtraciones similares aplicando controles de acceso estrictos y nunca codificando credenciales directamente en el código. Implementar la autenticación multifactor (MFA), usar una herramienta de gestión de secretos y ofrecer capacitación de seguridad regular para los desarrolladores son medidas preventivas fundamentales.
