اختراق Uber: إغراق بطلبات التحقق وكلمة مرور في سكربت
مراهق وصل إلى عمق Uber ببيانات دخول مسروقة، وطلبات تحقق متكررة، وكلمة مرور مدير في ملف PowerShell.
الأسبوع الماضي اختُرقت Uber، ونشر المهاجم عن ذلك في Slack الخاص بالشركة نفسها. السلسلة، بحسب التقارير:
- كلمة مرور متعاقد، اشتُريت غالبًا من سوق إجرامي.
- طلبات تحقق متكررة على الهاتف، مع رسالة WhatsApp تدّعي أنها من قسم تقنية Uber وتطلب الموافقة. وفي النهاية تمت الموافقة.
- داخل الشبكة، مجلد مشترك فيه سكربت PowerShell يحتوي بيانات دخول المدير لنظام خزنة كلمات المرور في الشركة.
ومن هناك، مفاتيح جزء كبير من Uber.
لكل خطوة إصلاح معروف:
- مطابقة الرقم أو مفاتيح الأمان بدل طلبات «موافقة» البسيطة.
- قاعدة واضحة: قسم التقنية لا يطلب منك أبدًا الموافقة على دخول عبر المحادثة أو الهاتف.
- ابحث في المجلدات المشتركة والمستودعات عن كلمات مرور داخل السكربتات. توجد أدوات لذلك.
- احمِ الخزنة بأقوى تحقق ثنائي وبأقل عدد من المديرين.
المهاجم لم يكن متطورًا، والثغرات كانت شائعة. وهذا يجب أن يقلق الجميع أكثر قليلًا من ثغرة متقدمة.