國外最大叫車應用Uber遭18歲少年攻擊，漏洞報告等關鍵檔案洩露

上週四，據Uber發言人證實，Uber正在應對一起網路安全事件，據稱有攻擊者滲透其內部網路並訪問了其內部文件。 

據報導，該網路攻擊事件乃是一名18歲的青少年所為。該攻擊者透過偽裝成企業IT人員對一名Uber員工進行社交工程，繞過多因素身份驗證（MFA）保護，獲取了帳戶訪問許可權。

在這之後，攻擊者在一個內部網路共享中發現了具有特權管理員憑證的PowerShell指令碼，從而獲取了對其他關鍵系統的完全訪問許可權，其中包括AWS、谷歌雲、OneLogin、SentinelOne和Slack。

更嚴重的是，據說這名青少年駭客還獲取了透過HackerOne提交的私下披露的漏洞報告。

Uber運營著一個HackerOne漏洞賞金計劃，允許安全研究人員私下披露其系統和應用程式中的漏洞，以贏得漏洞賞金。這些漏洞報告通常會嚴格保密至正式釋出修復程式，以防止其成為駭客攻擊的武器。

但這一次該攻擊者在無法訪問Uber的漏洞賞金計劃前下載了所有漏洞報告。其中很有可能包括尚未修復的漏洞報告，這意味著會給Uber帶來嚴重的安全風險。

到目前為止，攻擊者的動機尚不明確，但已有駭客公開表示對此網路攻擊行為負責，並呼籲提高Uber司機的工資。也有報導指出，攻擊者侵入該知名公司的網路屬於玩樂性質，並有可能在幾個月內洩露該公司的原始碼。

值得注意的是，這不是Uber發生的第一起重大網路安全事件。早在2016年，Uber就因未能正確披露影響5700萬乘客和司機的資料洩露而受到審查。在該起事件中，Uber向駭客支付了10萬美元以掩蓋違規行為，直到2017年才暴露在公眾視野中。

Uber在最新公告中說：

 “沒有證據表明該事件涉及訪問敏感的使用者資料（如旅行歷史）。我們所有的服務，包括Uber、Uber飲食、Uber貨運和Uber司機應用程式，都在正常運營。”

編輯：左右裡

資訊來源：thehackernews

轉載請註明出處和本文連結

每日漲知識

影子帳戶

影子賬戶是內部賬戶和外部賬戶的形式，主要起備查及處理不方便放在外部賬戶的費用的功能。“影子使用者”一種指在網路應用中將網路卡的MAC，IP地址修改成與別人的一模一樣，然後接在同一個交換機的認證口下的終端使用者。另一種指作業系統中影子賬戶。

﹀

﹀

﹀