Qu’est-ce qui vient juste de se passer? Dans ce qui est considéré comme une première, un dirigeant d’une entreprise a été reconnu coupable d’accusations liées à la dissimulation d’un piratage. Joe Sullivan, l’ancien responsable de la sécurité d’Uber, a autorisé les paiements aux auteurs d’une violation de données en 2016 qui a vu les données personnelles de 50 millions de clients Uber et de 7 millions de chauffeurs volés.
Le Washington Post rapports qu’un jury a déclaré Sullivan – un ancien procureur des cybercrimes pour le bureau du procureur américain de San Francisco – coupable d’entrave à la justice pour ne pas avoir révélé la violation du 26 octobre 2016 à la FTC ; les entreprises sont tenues de divulguer les violations de données en vertu des lois étatiques et fédérales. Il a également été reconnu coupable d’avoir activement caché un crime ou une erreur de prise en charge.
Les pirates ont envoyé un e-mail anonyme à Uber en 2016, l’informant qu’ils avaient accédé au stockage Amazon Web Services (AWS) de l’entreprise et téléchargé des quantités de données, qui comprenaient des noms, des adresses e-mail et des numéros de téléphone, ainsi que 600 000 numéros de permis de conduire américains. Il est apparu plus tard qu’ils y étaient parvenus en accédant à un site de codage GitHub privé utilisé par les ingénieurs logiciels d’Uber et en utilisant les identifiants de connexion qu’ils y avaient obtenus.
Les pirates ont été dirigés vers le programme de primes aux bogues d’Uber, mais sa récompense maximale de 10 000 $ n’a pas satisfait les criminels, qui voulaient une somme à six chiffres en échange de la suppression des informations volées et du silence sur l’incident. Déjà sous enquête de la FTC sur une violation similaire en 2014, Uber a accepté un paiement de 100 000 $ en Bitcoin sous prétexte qu’il s’agissait d’un paiement de prime de bogue. Les deux pirates ont ensuite été arrêtés et ont plaidé coupables à des accusations de piratage.
Le piratage n’est devenu public qu’en novembre 2017 lorsque le nouveau PDG Dara Khosrowshahi l’a révélé et a renvoyé Sullivan. Les procureurs affirment que Sullivan a caché la violation pour protéger sa réputation.
« Sullivan s’est efforcé de cacher la violation de données à la Federal Trade Commission et a pris des mesures pour empêcher les pirates de se faire prendre », a déclaré Stephanie Hinds, avocate américaine à San Francisco, dans un e-mail à Bloomberg. « Nous ne tolérerons pas la dissimulation d’informations importantes au public par des dirigeants d’entreprise plus soucieux de protéger leur réputation et celle de leurs employeurs que de protéger les utilisateurs. »
Sullivan risque jusqu’à huit ans de prison, mais il serait susceptible de recevoir une peine beaucoup plus courte.
Uber a confirmé avoir subi une autre violation de données le mois dernier qui aurait pu être aussi grave ou pire que l’incident de 2016. Elle a été réalisée par le même hacker de 18 ans à l’origine de la fuite de GTA 6, qui a depuis été arrêté.
