Uber Freight indaga su un incidente informatico dopo che gli hacker rivendicano la fuga di un milione di file

      Uber Freight sta indagando su un incidente di sicurezza dei dati che coinvolge l'accesso non autorizzato a parte dei suoi sistemi, ha dichiarato l'azienda martedì, cinque giorni dopo che un gruppo di hacker ha affermato di aver pubblicato online circa un milione dei suoi file.

      In una dichiarazione attribuita al portavoce Sam Hallock, l'azienda ha affermato che non c'era stato "alcun impatto sulle operazioni commerciali di Uber Freight, che continuano nel normale corso senza interruzioni" e che "i nostri sistemi sono sicuri e completamente operativi".

      Hallock ha detto che l'incidente era stato "identificato, contenuto e risolto", e che l'azienda aveva "immediatamente coinvolto le forze dell'ordine federali".

      Inoltre, Hallock ha rifiutato di confermare se i dati pubblicati fossero autentici, o di dire quando gli hacker avessero preso contatto per la prima volta. Uber Freight non ha né confermato né smentito l'affermazione che un milione di file siano stati rubati.

      L'affermazione è stata pubblicata il 6 agosto da un gruppo che si fa chiamare Helix, uno dei quattro alias, insieme a Falcon, Pink e Redact, che il Threat Intelligence Group di Google monitora sotto un attore che designa come UNC6671.

      Google ha pubblicato ricerche sul gruppo lo stesso giorno, descrivendo una campagna di voice-phishing in cui i chiamanti impersonano il personale IT per ottenere accesso a grandi aziende finanziarie.

      Ha nominato Apollo Global Management, Bain Capital, Blackstone, Bridgewater, CME Group, KKR, Moody’s e TPG come obiettivi, con richieste di riscatto tra $750.000 e $3 milioni.

      La ricerca di Google non menziona Uber o Uber Freight; il collegamento a quella campagna si basa solo sul nome Helix.

      Le tattiche del gruppo, secondo i ricercatori di Google, si basano su ingegneria sociale piuttosto che su intrusione tecnica, con i chiamanti che persuadono i dipendenti a concedere accesso o reimpostare le credenziali.

      Un portafoglio di criptovalute collegato alla campagna ha ricevuto circa $10 milioni in bitcoin all'inizio di quest'anno.

      Nessun ricercatore indipendente ha verificato i dati trapelati, e nessun outlet di sicurezza specializzato aveva riportato l'incidente al momento della scrittura.

      Uber Freight intermedia il trasporto merci, vende software di gestione dei trasporti e gestisce il trasporto per gli spedizionieri, quindi i suoi sistemi contengono contratti, prezzi e registri dei vettori, ma non è stato stabilito cosa sia stato rubato.

      Non si sa se siano coinvolti dati personali di conducenti, dipendenti o clienti, e nulla nel reporting suggerisce che i sistemi di ride-hailing o di consegna di Uber siano stati colpiti.

      Uber Freight è una sussidiaria di Uber Technologies, lanciata nel 2017 ed espansa attraverso l'acquisizione di Transplace per $2,25 miliardi nel 2021. Ha riportato $1,583 miliardi di fatturato nel secondo trimestre di quest'anno, in aumento del 25%, mentre ha registrato una perdita operativa di $24 milioni.

      Uber ha acquistato la quota di Greenbriar Equity per $851 milioni nell'ottobre 2024, quattro anni dopo che la società di private equity ha guidato un investimento di $500 milioni che ha valutato l'unità a $3,3 miliardi.

      L'unità è cresciuta rapidamente attraverso acquisizioni e ora gestisce il trasporto merci per grandi spedizionieri in tutta Nord America, ma non ha ancora realizzato un profitto in alcun trimestre dalla transazione con Transplace. Uber non dettaglia i risultati di Uber Freight nei propri guadagni.

      Uber ha una storia difficile con la divulgazione delle violazioni. L'azienda ha nascosto una violazione del 2016 che ha colpito 57 milioni di utenti e conducenti, pagando agli hacker $100.000.

      Ha raggiunto un accordo con tutti e 50 gli stati americani e il Distretto di Columbia per $148 milioni nel 2018, e il suo ex chief security officer, Joe Sullivan, è stato condannato nel 2022 e condannato nel 2023 a tre anni di libertà vigilata per aver coperto l'accaduto.

      Separatamente, l'autorità olandese per la protezione dei dati ha multato Uber per €290 milioni nel 2024 per il trasferimento di dati dei conducenti negli Stati Uniti.

      Uber non ha presentato una comunicazione sui titoli specifica per l'incidente, e nessun movimento significativo del prezzo delle azioni è stato collegato ad esso.