L'attacco hacker ad Uber è l'esempio perfetto di come non si gestisce un attacco hacker

Non trovo altri termini: l’attacco a Uber è allucinante. E non ma non per l’attacco in sé. Ma per come tutta la vicenda è stata gestita.

Uber ci ha abituati da tempo a cose poco chiare e mal spiegate. A partire dai programmini che aiutavano gli autisti a individuare gli ispettori federali, alle informazioni personali sulla vittima di uno stupro avvenuto su una delle macchine richieste, o ancora le accuse di sessismo ai vertici dell'azienda. Insomma Uber è nota per essere una delle aziende meno chiare e trasparenti dei tempi recenti.

In questo caso però è riuscita a fare un passo avanti e ci ha insegnato come non si gestiscono i problemi informatici. Ieri notte che nel 2016 Uber ha subito un furto di dati, dove nella migliore delle ipotesi emerge che sono stati rubati dati di 57 milioni di utenti. In più a 600mila autisti sono stati rubati anche i numeri di cellulare. Questo lo sappiamo per certo. Ma per ora non abbiamo la sicurezza che non sia stato rubato anche altro. Ma il furto non è avvenuto ieri, ma un anno fa. E in 12 mesi non ne ha parlato.

Una scelta assurda, anche perché la legge degli Usa obbliga le aziende a dare questo genere di informazioni. Ma non è tutto. Come sono state recuperate queste informazioni? Secondo quanto riportato da Bloomberg il meccanismo ha davvero dell'incredibile. Alcuni degli sviluppatori della piattaforma avrebbero lasciato su GitHub, un luogo in cui si 'deposita codice', e non si sa ancora se nell'area privata o pubblica, una serie di codici sorgenti che avevano al loro interno memorizzate anche le chiavi di accesso che servivano per accedere alle macchine di produzione. Una delle cose che non si dovrebbe fare mai. Salvare le password all’interno delle repository dei codici sorgente è un modo perfetto per farsi del male.

Ma abbiamo di peggio. Perché Bloomberg sostiene che Uber abbia pagato 75mila sterline, per silenziare chi ha rubato i dati e fare in modo che non li divulgassero. Una risposta a mio avviso stupida e inutile, per due motivi:

1. Nessuno ti garantirà che quei dati non verranno pubblicati in un secondo momento
2. Così invogli altri a tentare di bucarti per chiederti soldi.

Ancora una volta quindi Uber ha un problema di poca trasparenza. E di cattiva gestione dei problemi. Nell'ordine, subisce un danno a causa di comportamenti superficiale, non li dichiara, paga un riscatto, infrange le regole. Una sequenza perfetta che spiega come non gestire un incidente informatico.