El autor de la brecha de seguridad de Uber es un veinteañero de Florida

Hace escasos días que salió a la luz la brecha de seguridad que sufrió Uber, en octubre de 2016, y que decidió mantener en secreto. Este incidente afectó a 57 millones de personas, tanto usuarios del servicio como conductores, y la compañía, que sabía la identidad del hacker, decidió pagarle 100.000 euros para que no informara del mismo.

Hoy ya sabemos que la persona que provocó tal caos es un veinteañero de Florida, que vive en un barrio humilde con su madre. Además, se ha hecho público que Uber le pagó la cantidad anteriormente mencionada de una forma un tanto discreta: con la excusa de un programa de recompensas como los que se emplean habitualmente para identificar vulnerabilidades en el código de plataformas. La compañía recibió un email anónimo el año pasado que pedía dinero a cambio de datos de usuarios, y el mensaje se reenvió al equipo del programa de recompensas, como se suele hacer con estas peticiones habitualmente.

Según un antiguo directivo de HackerOne, la empresa que ha desarrollado dicho programa, un pago tan elevado a través de su plataforma no solo es extremadamente raro, sino que 100.000 dólares es el pago más alto que se ha hecho en ella desde que entró en funcionamiento. Normalmente, las cantidades oscilan entre los 5.000 y los 10.000 dólares.

Al parecer, el hacker no actuó en solitario sino que le ayudó otra persona de la que no ha trascendido ningún dato pero que se sabe que pagó para que le echara una mano en la operación. Entre las tareas asignadas a este «compañero» estarían el acceso a GitHub para conseguir credenciales de uso a datos de Uber almacenados en un servidor determinado. Al parecer, según GitHub, esos datos conseguidos en su plataforma no se debieron a ningún fallo de sus sistemas de seguridad, y recuerdan que recomiendan que «nunca se almacenen tokens de acceso, contraseñas o cualquier otro sistema de autenticación ni claves de cifrado en el código«.

Varias fuentes han asegurado que el entonces CEO de la compañía, Travis Kalanick, estaba al tanto de lo que había pasado, así como del pago que se hizo para mantener el asunto en secreto. Y a Dara Khosrowshahi, el actual CEO, no pareció gustarle el asunto en absoluto, puesto que despidió a dos de los directivos de seguridad de mayor rango de Uber el mes pasado. Se trata del responsable de seguridad Joe Sullivan, y un adjunto, el abogado Craig Clark. Además, también manifestó que el incidente debió haberse comunicado a los reguladores cuando se descubrió.