Giovedì 15 settembre, in serata, i dipendenti di Uber hanno visto comparire su Slack un messaggio inatteso: «Annuncio di essere un hacker e Uber ha subito una violazione dei dati». Molti l’hanno preso per uno scherzo. L’autore, che ai giornalisti ha detto di avere 18 anni, ha mostrato schermate di accessi a gran parte dei sistemi interni. Uber ha confermato l’incidente e nei giorni successivi ha attribuito l’attacco a una persona legata al gruppo Lapsus$.
Le credenziali di un collaboratore esterno erano probabilmente state rubate da un malware sul suo dispositivo personale e vendute nel dark web. Con quelle l’attaccante ha provato ad accedere più e più volte, generando decine di richieste di approvazione MFA sul telefono della vittima. Dopo oltre un’ora l’ha contattata su WhatsApp fingendosi del supporto IT: le notifiche sarebbero finite solo approvandone una. Il collaboratore ha approvato.
Entrato in VPN, l’attaccante ha esplorato la rete e ha trovato una cartella condivisa con alcuni script PowerShell. Uno conteneva, scritte in chiaro, le credenziali di un amministratore del sistema di gestione degli accessi privilegiati, il caveau che custodisce tutte le altre password. Da lì sono arrivati AWS e Google Cloud, gli strumenti di collaborazione e la piattaforma con le segnalazioni di vulnerabilità ricevute da Uber. L’azienda afferma di non avere prove che siano stati consultati dati sensibili degli utenti, come la cronologia delle corse.
Due anelli deboli, uno umano e uno no
Il primo anello è la stanchezza. Se il tuo sistema MFA si limita a chiedere «approvi?», prima o poi qualcuno dirà sì per farlo smettere, soprattutto se dall’altra parte c’è una voce gentile che si presenta come l’IT. Il number matching, che obbliga a digitare un codice mostrato sullo schermo di login, insieme a un limite alle richieste consecutive, toglie questa leva. Le chiavi FIDO2 la eliminano del tutto. E chi lavora con te deve sapere che una raffica di notifiche è un attacco da segnalare, non un fastidio da far cessare.
Il secondo anello è una password in uno script. Cerca i segreti in script, configurazioni e repository con strumenti dedicati, e spostali in un gestore. Proteggi il sistema degli accessi privilegiati come il bene più prezioso che hai. E chiediti cosa vede un collaboratore esterno nel momento in cui entra in VPN.
