鑽石舞台

所分享的截屏似乎說明黑客獲得對優步很多關鍵IT系統的完全訪問權限，包括該公司的安全軟件和Windows域。黑客訪問的其它系統還包括優步的Amazon Web Services 面板、VMware ESXi虛擬機、Google Workspace郵件管理員儀錶盤和Slack服務器，黑客向Slack服務器發送了信息。

之後，優步證實了這起黑客事件，表示目前正在和執法部門聯繫並將即使公開更多信息。

《紐約時報》率先發布該消息，並表示已經和黑客交流過，後者表示是通過社工員工並竊取員工密碼而攻陷優步的，之後利用被盜憑據獲得對優步內部系統的訪問權限。

社工已成為近期攻擊著名公司如推特、MailChimp、Robinhood和Okta等的非常熱門的技術。

雖然黑客在此次攻擊活動中竊取了數據和源代碼，但同時也訪問了更具價值的資產。

Yuga Labs 公司的安全工程師 Sam Curry 指出，黑客訪問了優步的HakcerOne 漏洞獎勵計劃，並在所有的漏洞工單上進行了評論。Curry 指出，自己是從黑客評論自己兩年前提交給優步的一份漏洞報告注意到這次攻擊事件的。

優步在HackerOne平台上發布漏洞獎勵計劃，鼓勵研究人員將系統中的漏洞提交給優步並獲得現金獎勵。這些漏洞報告本應在修複方案發布之前保密，以阻止攻擊者利用。

Curry 還提到，優步的一名員工表示黑客訪問了優步從HackerOne平台上提交的所有私密漏洞報告。

一名消息人士透露，攻擊者在失去優步漏洞獎勵計劃的權限前已經下載了所有的漏洞報告，其中可能還包括尚未被修復的嚴重漏洞報告，因此可能會給優步帶來嚴重的安全風險。

HackerOne 平台之後禁用了優步的漏洞獎勵計劃，切斷了對已披露漏洞的訪問權限。然而，如果黑客已下載漏洞報告並將其出售給其它威脅人員加快變現，則也不會讓人驚訝。

優步尚未就此事置評。

題圖：Pixabay License‍

本文由奇安信編譯，不代表奇安信觀點。轉載請註明「轉自奇安信代碼衛士 https://codesafe.qianxin.com」。

奇安信代碼衛士 (codesafe)

國內首個專注於軟件開發安全的產品線。

覺得不錯，就點個「在看」 或 "贊」 吧~