9月15日，一名18歲的黑客稱成功入侵Uber系統，下載了HackerOne的漏洞報告，并分享了Uber內部系統、郵件、和slack服務器的截圖。

黑客分享的截圖表明，黑客成功訪問了Uber的許多關鍵IT系統，包括公司安全軟件和Windows域。黑客訪問的其他系統包括Uber的亞馬遜web服務配置、VMware vSphere/ESXi虛擬機、谷歌workspace管理Uber郵箱賬號的管理界面。

此外，攻擊者還成功入侵了Uber Slack服務器，并發布消息給Uber員工表明公司被黑。但從Uber的slack截圖來看，這些公告最初被認為是玩笑，員工并未意識到發生了真實的網絡攻擊。

隨后，Uber確認了這一網絡安全事件，發推稱已與執法機構接觸，之后會發布其他相關信息。

安全研究人員Corben Leo與黑客取得聯系，黑客稱通過對員工進行社會工程攻擊成功竊取了其密碼。因為Uber賬戶使用了多因子認證保護，黑客稱使用了MFA Fatigue攻擊，并偽裝成Uber IT支持人員來使該雇員接受MFA請求。MFA Fatigue攻擊是攻擊者登陸憑證時被多因子認證攔截，然后重復發起MFA請求，直到受害者不想看到該通知，并接收該請求。

黑客稱使用了MFA Fatigue攻擊

然后使用被竊的憑證信息訪問了公司的內部系統。黑客首先通過VPN登入Uber內部網絡，然后掃描公司內網敏感信息。然后發現了一個含有公司Thycotic 特權訪問管理平臺管理員憑證的powershell腳本，使用該憑證可以訪問公司其他內部服務的登錄密碼。

紐約時報報道稱，在此次攻擊中黑客訪問了Uber數據庫和源碼。

Yuga Labs安全研究人員稱黑客訪問了Uber的HackerOne漏洞獎勵項目，并對所有漏洞獎勵ticket進行了評論。

有研究人員稱黑客下載了Uber HackerOne漏洞獎勵項目中的所有漏洞報告，其中還包括未修復的漏洞報告。隨后HackerOne禁用了Uber漏洞獎勵計劃，使得其無法訪問未公開的漏洞信息。但是黑客已經下載了所有的漏洞報告，有可能賣給其他攻擊者以實現快速獲利。

9月16日，Uber發布調查進展，稱未發現黑客成功訪問用戶敏感數據，如行程信息。所有Uber服務仍在正常運行。

本文翻譯自：https://www.bleepingcomputer.com/news/security/uber-hacked-internal-systems-breached-and-vulnerability-reports-stolen/如若轉載，請注明原文地址。