Joseph Sullivan accusato di aver nascosto la violazione dei dati di Uber in 2016

Una denuncia penale presentata giovedì presso il tribunale federale ha comunicato le accuse contro l'ex Chief Security Officer (CSO) di Uber, Joseph Sullivan. Come riportato dal Dipartimento di Giustizia degli Stati Uniti (DOJ), Sullivan ha tentato di nascondere una violazione dei dati di Uber, verificatasi quattro anni fa, alla Federal Trade Commission (FTC). Si sostiene che abbia pagato una cifra a sei cifre in Bitcoin agli hacker.

Come Sullivan ha tentato di coprire la violazione dei dati di Uber in 2016

Il Sullivan di 52 anni ha lavorato presso Uber, la popolare azienda di rete di trasporto degli Stati Uniti, tra aprile 2015 e novembre 2017. Mentre era ancora in carica, precisamente il 14 novembre 2016, due hacker lo hanno contattato, dicendo di aver violato e posseduto l'accesso ai dati dell'azienda. Degno di nota, Uber ha subito un attacco simile nel 2014 e Sullivan ha segnalato la violazione dei dati di Uber alla FTC.

Passando al 2016, mentre ancora riordinava l'hack del 2014, gli hacker lo hanno contattato per il recente hack. Sullivan avrebbe scelto di nascondere la violazione dei dati di Uber del 2016 alla FTC, anche dopo aver confermato che i dati dell'azienda erano stati realmente compromessi. I dati in questione contenevano informazioni di identificazione personale di circa 57 milioni di conducenti Uber, inclusi gli utenti della rete.

Gli hacker hanno richiesto una cifra a sei cifre per comprare il loro silenzio, a cui Sullivan ha acconsentito. Tuttavia, ha pianificato il pagamento in modo deliberato per nascondere il recente hack alla FTC, come affermato nella denuncia penale.

Sullivan ha adottato approcci deliberati per nascondere la violazione dei dati di Uber 

Inizialmente, Sullivan ha complottato per pagare gli hacker attraverso un programma bug bounty. Secondo la denuncia, ha pagato 100.000 dollari in Bitcoin all'hacker, anche se non conosceva i loro veri nomi in quel momento. Voleva anche che firmassero un accordo di non divulgazione, che avrebbe falsamente rappresentato che gli hacker non avevano ottenuto alcun dato. La nuova gestione di Uber è stata in grado di scoprire l'hack nel 2016 e lo ha segnalato correttamente alla FTC e al pubblico.

Mentre Sullivan attende la sua prima apparizione in tribunale federale, il rapporto del DOJ riassume:

"Sullivan è accusato di ostruzione della giustizia, in violazione del 18 USC § 1505; e di misprision di un reato, in violazione del 18 USC § 4."