# data[].attributes.body
Entreprise technologique américaine ayant développé une application mobile afin de mettre en contact deux types d’utilisateurs, à savoir des conducteurs réalisant un service de transport et des demandeurs, les passagers.

La plateforme accumule des données personnelles sur les deux types d'utilisateurs comme leurs noms, le permis de conduire (pour les chauffeurs), les adresses électroniques, les données bancaires (carte de crédit), les coordonnées géographiques, leur numéro de téléphone mobile et un historique des courses faites par l’utilisateur. Uber est donc en possession d’une grande quantité de données confidentielles.

# data[].attributes.headline
Prise de force, chantage et demande de rançon

# data[].attributes.subject
Prise de force, chantage et demande de rançon

# data[].attributes.body
Les menaces peuvent prendre différentes formes. Avec les avancées technologiques, elles ont tendance à évoluer vite et les organisations se doivent de s’y adapter rapidement. Malgré tout, l’incident d’Uber vient montrer qu’aussi innovatrice une attaque peut être, il ne faut pas sous-estimé la capacité et la porté des attaques traditionnelles. En effet, le cas d’Uber est un exemple d’une attaque plus classique: infiltration d’un système par force brute, vol de données confidentielles, chantage et demande de rançon à la compagnie. C’est une attaque plutôt basique qui a fait pourtant plier le géant du transport. Même si les demandes de rançon sont maintenant vues avec l’utilisation de logiciel, les anciennes méthodes de simple vol de données peuvent tout autant mettre une organisation au pied du mur si elle ne met pas  en place les mesures adéquates.

# data[].attributes.headline
Une méthode de base, mais encore efficace

# data[].attributes.subject
Une méthode de base, mais encore efficace

# data[].attributes.body
Fin 2016, deux individus ont volé les données personnelles de 57 millions d’utilisateurs (noms, numéros de sécurité sociale, dates de naissance et permis de conduire, etc.) Ces derniers auraient accédé au compte GitHub d'Uber, un site que de nombreux ingénieurs et entreprises utilisent pour stocker du code et faire le suivi des projets. À l’intérieur du compte GitHub, les pirates ont trouvé des identifiants de connexion pour accéder à un compte AWS (Amazon Web Services) où étaient entreposées les archives contenant des données confidentielles sur les utilisateurs de l’application.

Après avoir pris possession des données, les hackers ont fait une demande de rançon à Uber d’une valeur de 100 000$ pour dissimuler l’affaire. Uber a payé la rançon en échange de la destruction des données volées et la signature d’un accord de confidentialité, sans pour autant être certain des véritables actions des pirates.

# data[].attributes.headline
La considération des menaces et la demande de rançon

# data[].attributes.subject
La considération des menaces et la demande de rançon

# data[].attributes.body
L’attaque externe qu’a subie Uber n’est pas unique. En effet, il n’est pas inhabituel de la part des hackers de scanner les sections de code publié sur GitHub en espérant y trouver des mots de passe ou des clés de cryptage qui aurait été oublié. Le chercheur en sécurité Edwin Foudil affirme également qu’assumer que les identifiants et les autres types d’accès sont protégés grâce à l’utilisation d’un mot de passe est une erreur très dangereuse qui est plus souvent commise qu’on ne le pense. Cette pratique peut être qualifiée comme une vulnérabilité puisqu’elle laisse l’entreprise à risque dès qu’un système est pénétré. De plus, cela laisse croire à un manque de considération en ce qui a trait  aux menaces que l’organisation doit prendre en considération. Ainsi, sous-évaluer une attaque et les impacts qu’elles pourraient avoir sur une entreprise peut être dommageable, autant faut-il s’adapter aux nouvelles formes de menaces, les organisations doivent tout de même rester à l'affût des attaques de base.

L’un des thèmes de la séance 6 concerne les attaques externes. Plusieurs de ces dernières incluent une demande de rançon contre l’accès à leurs données ou une clé de cryptage par exemple. Bien que l’exemple de Uber ne comprenne pas le logiciel, il est possible de constater que les rançons peuvent être utilisées dans différents contextes que ce soit pour permettre à une entreprise de reprendre ses activités ou dans le cas d’Uber, s’assurer de la non-diffusion des données.

# data[].attributes.body
Lena Bourassin
Mathilde Mangin
William Maher-Perron
Maryse Picard