Dissimulation de la violation d'Uber (2016)
Violation de fin 2016 touchant 57 millions d'utilisateurs et chauffeurs d'Uber, cachée un an au moyen d'un paiement de 100 000 dollars présenté comme une prime de bug bounty, qui a valu une condamnation pénale à son responsable sécurité.
La dissimulation de la violation d'Uber est l'affaire d'une fuite de données de fin 2016 que l'entreprise a cachée pendant un an en payant les pirates comme des chercheurs de bug bounty, et qui a valu une condamnation pénale à son responsable sécurité. Fin 2016, des pirates récupèrent des identifiants d'accès au stockage cloud d'Uber et en tirent les données d'environ 57 millions d'utilisateurs et de chauffeurs, dont quelque 600 000 numéros de permis de conduire américains. Ils demandent de l'argent. Uber paie 100 000 dollars par son programme de bug bounty et ne prévient personne. La FTC (Federal Trade Commission) enquête alors sur une violation antérieure, de 2014. L'affaire sort en novembre 2017, sous la nouvelle direction. La suite est réglementaire puis pénale. Le 26 septembre 2018, Uber conclut avec les attorneys general des cinquante États et du district de Columbia un accord de 148 millions de dollars pour défaut de notification, assorti d'engagements de sécurité. Joe Sullivan, son ancien responsable de la sécurité, est déclaré coupable par un jury de San Francisco en octobre 2022, pour entrave à une procédure de la FTC et non-dénonciation de crime (misprision of felony). Le 4 mai 2023, le juge William Orrick le condamne à trois ans de probation et 50 000 dollars d'amende ; le parquet demandait quinze mois de prison. Pour le souscripteur cyber, l'affaire a fixé trois lignes. Une rançon payée hors du cadre de la garantie d'extorsion, sans accord préalable de l'assureur ni signalement aux autorités, ne se rattrape pas au sinistre. Le retard de notification transforme une violation couverte en enquête réglementaire, et les sanctions pécuniaires qui en sortent butent sur l'assurabilité des amendes. Et la responsabilité personnelle du RSSI (responsable de la sécurité des systèmes d'information) existe désormais au pénal, ce qui renvoie à la police D&O (directors and officers, responsabilité des dirigeants) et à ses exclusions pour faute intentionnelle. Le juge a présenté le dossier comme un cas isolé ; les responsables sécurité du marché l'ont lu comme un précédent, et le contrat de travail du RSSI se lit désormais à côté de la police D&O.
Cas d'école : une plateforme de livraison fictive paie 80 000 $ à un pirate via son bug bounty et ne notifie pas. Découverte dix-huit mois plus tard. La garantie d'extorsion refuse les 80 000 $ (pas d'accord préalable). Les frais de notification, 400 000 $, sont pris. Les AG (attorneys general des États) réclament 5 M$ ; la garantie des enquêtes réglementaires paie la défense, 600 000 $, et l'amende dépend de son assurabilité dans chaque État.
affaire Uber 2016, violation Uber 2016, dissimulation Uber, affaire Joe Sullivan, rançon déguisée en bug bounty, Uber 57 millions
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.