Las oficinas de Uber en San Francisco, 27 de marzo de 2017. El 21 de noviembre, Uber reveló que fue víctima de un hackeo en octubre pasado y que despidió a su jefe de seguridad, Joe Sullivan, por mantener la violación en secreto durante más de un año.
SAN FRANCISCO — Uber reveló el martes que piratas informáticos habían robado 57 millones de cuentas de conductores y pasajeros; la empresa había decidido mantener el ataque en secreto por más de un año después de pagar un rescate de 100.000 dólares.
El acuerdo fue organizado por el jefe de seguridad de la compañía y contó con la supervisión del expresidente ejecutivo, Travis Kalanick, según varios empleados actuales y antiguos que hablaron bajo la condición de mantener el anonimato, porque los detalles de la operación son privados.
El oficial de seguridad, Joe Sullivan, fue despedido. Kalanick fue removido de su cargo en junio, aunque permanece en el directorio de Uber.
Según contaron los empleados, dos hackers robaron datos sobre los clientes y conductores de la compañía, incluidos los números de teléfono, direcciones de correo electrónico y nombres. Luego se acercaron a Uber y exigieron 100.000 dólares para eliminar su copia de los datos.
Uber aceptó las exigencias de los atacantes y luego dio un paso más allá. La compañía rastreó a los piratas informáticos y los obligó a firmar acuerdos de confidencialidad, según las personas familiarizadas con la operación. Para ocultar aún más el daño, los ejecutivos de Uber también hicieron parecer que el pago había sido parte de una “recompensa por errores”, una práctica común entre las compañías de tecnología en la que se le paga a los piratas informáticos para que ataquen su software con el fin de detectar puntos débiles.
Los detalles del ataque permanecieron en secreto hasta el martes. La compañía dijo que descubrió la violación como parte de una investigación sobre las prácticas comerciales de Uber.
El ataque de Uber está lejos de ser la exposición más seria de los datos privados de clientes. Las dos filtraciones reveladas por Yahoo en 2016 eclipsan a la falla de Uber, y un ataque divulgado en septiembre por Equifax, la agencia de informes de crédito al consumidor, expuso un tesoro de información personal mucho más profundo para un grupo mucho más grande de personas.
Pero el manejo del ataque muestra hasta qué punto los ejecutivos de Uber estaban dispuestos a proteger la reputación y los negocios del gigante de 70.000 millones de dólares, incluso a costa de defraudar la confianza de sus usuarios y, quizá lo más importante, las leyes estatales y federales. La oficina del fiscal general de Nueva York dijo el martes que abrió una investigación sobre el asunto.
Dara Khosrowshahi, quien fue escogido como el director ejecutivo de Uber a fines de agosto, dijo que solo recientemente se había enterado de la violación.
“Nada de esto debería haber sucedido, y no tengo excusas para eso”, dijo Khosrowshahi en un comunicado publicado en el blog de la compañía. “Si bien no puedo borrar el pasado, puedo comprometerme en nombre de cada empleado de Uber que aprenderemos de nuestros errores. Estamos cambiando la forma en que hacemos negocios, colocando la integridad en el centro de cada decisión que tomamos y trabajando duro para ganarnos la confianza de nuestros clientes”. Una portavoz de Kalanick no quiso hacer ningún comentario.
La revelación de la violación de seguridad y la forma en que se mantuvo en secreto renuevan las preguntas sobre la permanencia de Kalanick, quien ha enfrentado críticas por su estilo de gestión y prácticas después de que Uber fuera objeto de escrutinio por su cultura laboral este año. The New York Times también informó sobre un programa secreto llamado Greyball que se había llevado a cabo bajo la supervisión de Kalanick, en el que los miembros del personal de Uber vigilaban a los agentes policiales con el fin de evadirlos. Desde su salida como director ejecutivo, uno de los primeros inversionistas de Uber lo demandó por fraude.
La falla de seguridad también afecta a Sullivan, quien fue una figura prominente de la industria de seguridad informática. Sullivan fue el primer director de seguridad de la compañía en 2015, después de haber sido el jefe de seguridad de Facebook durante siete años.
A diferencia de muchos ejecutivos de seguridad cibernética, Sullivan también es abogado y estudió delitos cibernéticos en la Universidad de Miami. Comenzó su carrera en la industria de la tecnología como fiscal federal durante el auge tecnológico de fines de la década de 1990, trabajando en empresas como eBay, donde fue el jefe de confianza y seguridad en 2002.
Cuando Uber tomó la decisión de contratar a Sullivan, muchos lo vieron como una victoria para la compañía. A medida que el número de clientes y conductores de Uber iba creciendo, también comenzaron las preocupaciones por la privacidad y seguridad. Uber había enfrentado quejas sobre agresiones de clientes y conductores, así como acusaciones de que no estaba haciendo lo suficiente para proteger los datos de los usuarios. Sullivan tuvo la tarea de mantener a los conductores y clientes a salvo.
Además de Sullivan, también despidieron a Craig Clark, director legal de seguridad de Uber. Ni Sullivan ni Clark respondieron a las solicitudes de declaraciones.
La decisión de la empresa de ocultar la falla y pagar el rescate rápidamente suscita dudas entre los expertos en seguridad. Muchos les han advertido a las empresas de forma reiterada que no paguen los rescates de los piratas informáticos para ocultar infracciones o devolver datos robados, un consejo que fue incluido en una declaración del FBI en 2016. Y varios estados, incluido California, tienen leyes que obligan a las empresas a divulgar cuando son atacadas por piratas informáticos.
“Las empresas están financiando el crimen organizado, se está creando una industria de delincuentes”, dijo Kevin Beaumont, un experto en ciberseguridad del Reino Unido. “Los chicos buenos están creando un mercado para los malos. Les estamos permitiendo monetizar lo que hace unos años solo eran adolescentes que desde sus cuartos atacaban a las empresas por pura diversión”.
Uber ya ha experimentado ataques. La empresa sufrió una violación de datos en mayo de 2014, un ataque que Uber descubrió más tarde ese año y se reveló en febrero de 2015. En ese ataque, los nombres y las licencias de conducir de más de 50.000 conductores se vieron comprometidos.
Esta última violación pone a Uber en otra situación difícil justo cuando la compañía está trabajando para reparar su imagen y prepararse para buscar una oferta pública inicial en 2019. Khosrowshahi ha calificado su presencia en la compañía como “Uber 2.0”. Como parte de eso intenta desechar los valores corporativos agresivos que Kalanick instauró y le dio al servicio de transporte una nueva lista de valores que incluye la frase “hacer lo correcto. Punto”.
Uber contrató a Matt Olsen, ex asesor general de la Agencia de Seguridad Nacional, como asesor, y a Mandiant, una firma de seguridad, para llevar a cabo una investigación independiente de la violación de seguridad. Uber dijo que Olsen planea reorganizar el equipo de seguridad de la compañía.
Pero el daño ya está hecho, y los directivos de Uber están conscientes del largo camino que les toca transitar para volver a recuperar la confianza del público. Si bien no es ilegal pagarles a los hackers, Uber puede haber violado varias leyes al relacionarse con ellos.
Al exigir que los atacantes destruyan los datos robados, Uber puede haber violado una regla de la Comisión Federal de Comercio sobre la divulgación de violaciones que prohíbe a las empresas destruir cualquier evidencia forense en el curso de su investigación.
La compañía también puede haber violado las leyes estatales de divulgación de infracciones al no revelar el robo de los datos de los conductores de Uber. Si los datos robados no estuviesen encriptados, la ley del estado de California le habría exigido a Uber que divulgara los datos de las licencias de conducir de los choferes que fueron robados en el ataque.
Un portavoz de Uber se negó a comentar sobre esta situación.
Mike Isaac y Sheera Frenkel reportaron desde San Francisco, y Katie Benner desde Nueva York. Nicole Perlroth colaboró con este reportaje desde San Francisco.
Desarrollado por Rodrigo Guidetti
