Saldırının ne zaman yapıldığı şu an için belli olmasa da, hafta sonu “UberLeaks” adlı bir tehdit aktörü tarafından Uber ve Uber Eats’tan çalındığını iddia ettiği verileri yayınlamasıyla ortaya çıktı. İlgili veriler daha önce kapatılmış olan RaidForums’un halefi konumunda yer alan BreachForums içerisinde “uberhub.uberinternal.com” adresindeki Uber MDM ve Uber Eats MDM ve üçüncü taraf Teqtivity MDM ve TripActions MDM platformları başlıklarıyla dört farklı konu şeklinde yayınlandı.
Yayınlanan veriler arasında Uber’in yanı sıra Uber Eats ve üçüncü taraf satıcı hizmetleri tarafından kullanılan çeşitli mobil cihaz yönetimi (MDM) platformlarıyla ilişkili kaynak kodu olduğunu söyledikleri bir dizi arşiv yer alıyordu. Bununla birlikte hiçbir kullanıcı bilgisi ele geçirilmemiş gibi görünse de, 77.000 Uber çalışanının kişisel bilgilerinin yer aldığı da belirtildi.
Uber doğruladı: Tequivity’e ait yedek dosyaların yer aldığı bir AWS bulut sunucusunu ihlal edildi
Veri ihlalinin medyada yer bulmasıyla birlikte, ilgili veri ihlali Uber tarafından kabul edildi. Daha sonra da şirketin varlık yönetimi ve takip hizmetleri için kullandığı Tequivity adlı bir şirketin ihlal bildirimine yönlendirdi.
Tequivity’nin açıklamasına göre tehdit aktörlerinin yetkisiz erişim gerçekleştirerek müşteri verilerinin tehlikeye atıldığını belirtti. Şirket, tehdit aktörlerinin müşterileriyle ilgili kod ve veri dosyalarını barındıran AWS yedekleme sunucusuna erişim sağladığını söyledi. Fakat bu erişimin yanlış yapılandırmadan mı ya da başka bir sebepten dolayı mı olduğu konusunda bir ayrıntı belirtmedi.
Tequivity, saldırıyla birlikte ortaya çıkan veriler arasında seri numarası, marka, modeller ve teknik özellikler dahil olmak üzere çeşitli Uber çalışanlarının BT cihazlarında barındırılan bilgilerin yanı sıra ad ve soyadlar, iş e-posta adresleri ve iş yeri ayrıntıları dahil olmak üzere çalışan bilgileri yer aldığını belirtti.
Şirket, ihlalden etkilenen müşterilerini bilgilendirmeye başladıklarını, ayrıca olayı araştırmaya devam ettiklerini belirtti.
Tehdit aktörü henüz doğrulanmadı!
Eylül ayında gerçekleşen veri sızıntısının arkasında Lapsus$ adlı tehdit aktörü yer alıyordu. Fakat, şu ana kadar bu saldırıyı üstlenen bir grup henüz ortaya çıkmadı. Uber’de yaptığı açıklamada bu veri ihlalinin Eylül ayında gerçekleşen olayla ilgisi olmadığına inandığını da yineledi.
Tripactions’dan açıklama geldi
TripActions tarafından BleepingComputer’a yapılan açıklamaya göre gerekli incelemelerin yapıldığı ve hiçbir TripActions verisinin açığa çıkmadığı belirtildi. Ayrıca TripActions’ın bir MDM’ye sahip olmadığı da eklenmiş.
