Sophos評論：Uber資料外洩用戶個資

據彭博社報導，Uber遭駭客攻擊導致用戶資料外洩，包括5,700萬司機和客戶詳細的數據被竊取。之後，優步不僅私下與駭客達成協議並避免此次的事件洩密，向黑客支付了10萬美元。此次的攻擊，駭客進入在AWS的Uber服務器，並從那裡不法獲得的Uber用戶的個人信息。

Sophos首席研究科學家Chester Wisniewski表示：「Uber的資料外洩事件再一次證明了程式開發者需要認真對待安全問題，並且永遠不要在原始程式碼儲存庫中內嵌或部署存取權杖(憑證)和金鑰。我感覺這像是一部我以前看過的電影，但通常參與掩護行動的犯罪份子都不會被抓。先不管電影，也不論即將實施的GDPR會造成什麼潛在影響，這只是另一個安全實務不佳的例子，因為開發團隊採用了共用憑證的方式。可惜的是，這種情況在敏捷開發環境中很常見。」

Sophos網路安全顧問James Lyne的說法：「Uber並不是唯一，也不會是最後一個隱瞞資料外洩或遭到網路攻擊的公司。若不通知消費者，會使他們更容易受到詐騙。正是由於這個原因，許多國家都推動制定強制要求揭露資料外洩事件的法規。」

對於Uber的客戶和司機來說，Sophos會建議他們監控他們的信用評等，並保持注意有哪些資訊被竊的更多資訊。有關Uber資料外洩的更多提示和最新資訊，請參閱Sophos Naked Security的文章：Uber 遭遇大規模的資料外洩並支付駭客封口費。

圖說 ：針對這次安全攻擊的事件，Uber當下並沒有發佈相關的聲明與通知。