Un joven de 18 años ‘hackea’ Uber y envía pantallazos de su «hazaña» a empleados de la compañía

Uber está investigando un problema de ciberseguridad que ha afectado a los sistemas internos de la compañía y que tendría su origen en un ataque de ingeniería social que habría dado acceso a la cuenta en Slack de uno de los empleados. El autor, según confirmó él mismo al periódico The New York Times, es un joven de 18 años que ha tenido acceso a sistemas e información confidencial de la empresa.

Lo más «gracioso» es que cuando el joven hizo pública su hazaña en las redes sociales de la poderosa compañía que comercializa movilidad como servicio, en un principio los empleados se lo tomaron a cachondeo, posteando memes y reacciones con emojis como respuesta al comunicado del hacker, y llegando incluso a chatear con él.

No obstante, cuando la empresa pudo confirmar que la brecha y el acceso se habían producido realmente, todo se volvió más serio. El propio hacker ayudó a explicar cómo o había hecho: había encontrado el nombre de usuario y la contraseña de un empleado en unos scripts de powershell en una red compartida.

¿Una gamberrada o algo más?

Según parece, el hacker obtuvo acceso a diferentes plataformas y servicios (entre ellas Google Workspace, Amazon Web Services, Google Cloud Platform y OneLogin), pero no efectuó ninguna acción maliciosa; se limitó a declarar que Uber paga a sus empleados (se refería a los chóferes de los vehículos propios de la empresa) por debajo de lo que debería, y a demostrar que había obtenido acceso a información confidencial

En estos casos siempre queda la duda de si todo ha quedado en una demostración de fuerza en la que el hacker busca y explota la brecha «porque puede», o si el asunto se ha resuelto más adelante en privado entre el mentado hacker y la compañía amenazada (y si ha existido algún tipo de contraprestación por parte de esta última para que la cosa no vaya a más).

Esto pone de relieve la facilidad con la que es posible encontrar medios de acceso a redes e informaciones privadas, en especial en grandes organizaciones, y la importancia absolutamente crucial de una formación adecuada en ciberseguridad no ya para el CISO y su gente, sino para todos los empleados y colaboradores externos.

No obstante, lo que realmente es preocupante para la compañía (o debería), y sin duda también para todos sus clientes, es la reacción completamente ajena a cualquier protocolo de ciberseguridad con la que se reaccionó cuando el hacker hizo público en los canales internos de la organización que había explotado una brecha de ciberseguridad.