本周四,Uber前首席安全官约瑟夫·沙利文(Joseph Sullivan)受到刑事指控,罪名是试图隐瞒2016年的一次黑客攻击。当时的攻击导致Uber大约5700万用户和司机的个人信息泄露。值得注意的是,这样的诉讼尚没有先例。
美国司法部指控52岁的沙利文犯有妨碍司法公正的重罪。诉讼称,在黑客攻击发生后,美国联邦贸易委员会(FC)开始监督Uber的信息安全工作,但他采取“蓄意的措施”,妨碍FTC了解相关信息。
这起案件是企业的信息安全人员首次被指控隐瞒黑客攻击活动。
沙利文本人曾是美国联邦检察官。他根据Uber的信息安全研究者漏洞报告奖励计划,向黑客支付了10万美元。到目前为止,这是Uber奖励计划支付的最高奖金,但这一项目原本并不覆盖敏感数据被盗事件。
沙利文此前曾是Facebook的信息安全负责人,目前在Cloudflare担任首席信息安全官。
在此前的采访中,信息安全人员表示,Uber支付这笔钱是为了迫使黑客公开接受奖金,并确保数据,尤其是平台司机的驾照信息被销毁。
起诉书称,沙利文让黑客签署了保密协议,谎称他们没有窃取数据。此外,Uber时任CEO的特拉维斯·卡兰尼克(Travis Kalanick)知晓沙利文的行为。
卡兰尼克的发言人拒绝对此置评。沙利文的发言人表示,沙利文正在与同事就本案展开合作,具体信息由司法部门披露。
沙利文的发言人布拉德·威廉姆斯(Brad Williams)说:“如果不是沙利文和他团队的努力,很可能我们永远都不会知道,什么人应该为此事件负责。”
卡兰尼克的继任者、Uber现任CEO达拉·科斯罗沙西(Dara Khosrowshahi)披露了这笔奖金,并在确定违规程度后辞退了沙利文及他的副手。Uber随后支付1.48亿美元,以了结在美国所有50个州和华盛顿特区遭遇的指控。
对于许多与黑客直接打交道的公司来说,Uber这起案件非常值得关注。许多公司都制定了类似的漏洞报告奖励计划,这些计划通常被视为提高信息安全水平的工具,并为黑客提供法律框架内的奖励。然而,有些参与者并没有遵守规则。
美国联邦调查局(FBI)指出,在Uber的案件中,两名主要的黑客继续攻击其他公司。如果沙利文首先报告司法部门,那么这种情况本可以避免。这两名黑客已经认罪,正在等待法庭判决。(新浪科技)