Serie “Fallas reales” – Uber (2022): El día que un hacker tomó el control sin permiso

En 2022, un atacante tomó el control de un auto de Uber sin tener licencia ni permiso.

Se metió en los sistemas internos de la empresa y manejó como si fuera el dueño del vehículo. Revisó mapas, abrió el GPS con datos sensibles e incluso dejó mensajes para los empleados.

¿Qué pasó?

En septiembre de 2022, Uber confirmó que un hacker logró entrar a sus sistemas internos usando ingeniería social (o sea, engañando a empleados para conseguir acceso). El intruso pudo acceder a bases de datos, información de empleados, código fuente, y sistemas clave.

¿Por qué eso es grave?

Porque la información interna de Uber no es cualquier cosa: incluye datos personales de conductores y pasajeros, detalles financieros, y el código que controla la app que usan millones en todo el mundo. Si alguien malintencionado tiene eso, puede causar desde fraudes hasta manipular servicios.

¿Qué accedió el hacker?

• Código fuente del software de Uber.

• Datos personales y documentos de empleados.

• Información interna sobre sistemas y seguridad.

• Accesos a algunas bases de datos.

¿Cuántas personas o datos afectó?

Aunque Uber no detalló todo, se sabe que la información expuesta podría incluir datos de empleados y posiblemente usuarios, sumando millones de personas indirectamente.

¿Cómo pudo pasar?

El hacker no explotó una falla técnica compleja, sino que engañó a un empleado para obtener sus credenciales y así entrar. Es lo que se llama un ataque de ingeniería social: el eslabón más débil muchas veces no es el sistema, sino las personas.

¿Qué podemos aprender?

• La seguridad no es solo tecnología, también es educar a las personas.

• Las contraseñas y accesos deben protegerse con doble autenticación y revisiones constantes.

• Una sola credencial comprometida puede abrir muchas puertas si no hay controles.

• Estar preparado para reaccionar rápido cuando hay una intrusión.

¿Y Uber qué hizo?

• Confirmó el incidente públicamente y comenzó una investigación.

• Restableció accesos y reforzó medidas internas de seguridad.

• Reforzó la capacitación para que los empleados detecten ataques de ingeniería social.

• Colaboró con las autoridades para rastrear al atacante.

Datos curiosos “extra”

• El hacker se identificó en Twitter y empezó a publicar detalles del ataque, lo que puso a Uber en el foco de la atención pública.

• Este ataque fue un recordatorio para muchas empresas de que no todo es tecnología, las personas también son una pieza clave en la seguridad.

• Algunos expertos creen que el hacker pudo haber accedido a los sistemas en menos de una hora después de obtener la credencial robada.

• Uber no ha revelado si hubo algún daño financiero directo, pero el daño a la reputación fue importante.

• Después del incidente, Uber invirtió más en simulacros de phishing para sus empleados.

🛡️ Serie: Fallas reales 

Cada semana te traigo una historia real sobre errores que comprometieron la seguridad de millones de personas. Cinco entradas con casos impactantes y lecciones que todos podemos aprender para mejorar nuestra ciberseguridad.

Fuentes:

https://firewalltimes.com/uber-data-breach-timeline

https://blog.gitguardian.com/uber-breach-2022

https://www.halock.com/uber-is-taken-for-a-ride-by-a-hacker-again