Uber 前安全负责人因 2016 年掩盖黑客行为而被定罪

前 Uber 首席安全官乔·沙利文（Joe Sullivan）因掩盖 2016 年的一次网络攻击而被判有罪，在该攻击中，一名黑客下载了超过 5700 万人的个人信息。 从优步窃取的信息包括超过 5000 万优步乘客和 700 万司机的姓名、电子邮件地址和电话号码，以及另外 60 万司机的驾照号码。

据报道 纽约时报 和 华盛顿邮报，陪审团判定沙利文犯有两项罪名：一项是通过未向 FTC 披露违规行为而妨碍司法公正，另一项是误判，这是向当局隐瞒重罪。

他面临三项电汇欺诈罪，但检察官在八月份驳回了这些指控。 Sullivan 曾在 Facebook 和 Cloudflare 等其他公司担任安全主管，并且作为 邮政 指出，在这种情况下，他与之前曾在旧金山起诉网络犯罪的同一家美国检察官办公室进行了较量。

检方在最初的投诉 (PDF) 中描述了黑客攻击本身，并指出它几乎完全反映了 2014 年对 Uber 的违规行为，在事件发生时，FTC 已经对该公司进行了调查。 随着审判于 9 月开始，Uber 的系统再次遭到黑客攻击，该黑客与被指控为 Lapsus$ 勒索软件组织的前成员有关，迫使其暂时将一些内部系统下线。

2016 年的违规事件发生在两名外部人员在 Github 上发现了允许他们访问 Uber 的 Amazon Web Services (AWS) 存储的凭据时，他们用这些凭据下载其数据库备份。 黑客随后联系了优步并协商支付赎金以换取删除被盗信息的承诺，并支付了价值 10 万美元的比特币，并被视为该公司漏洞赏金计划的一部分。 他们最终承认了在 2019 年入侵该公司的罪行。

作为 时代 请注意，这被认为是公司高管首次因黑客攻击而面临刑事起诉。 沙利文的信念可能会改变悄悄向黑客支付赎金的公司对类似事件的反应方式。 检察官出示的证据表明，沙利文与当时的优步首席执行官特拉维斯卡兰尼克以及该公司的首席隐私律师分享了黑客和付款的细节。 他们还声称他没有向优步的总法律顾问透露此事，并表示后来他没有向新任首席执行官 Dara Khosrowshahi 透露事件的真实范围。

彭博社 有报道称，检察官辩称沙利文没有透露这次袭击是为了保护他的名誉，因为他本应在 2015 年加入优步后提高了优步的安全性。它还报道说，沙利文将面临最高 8 年的监禁，但“可能”有一个更短的句子。

在科斯罗萨西的领导下，优步最终解雇了沙利文，公开承认了违规行为，向所有 50 个州支付了 1.48 亿美元的民事诉讼，并在去年 7 月与检察官达成和解，承诺在针对沙利文的刑事案件中“全面合作”。 9 月 16 日，Khosrowshahi 作证不利于他，说：“他是我的首席安全官，我不能再相信他的判断了。” 2018 年，在违规行为被揭露后，优步与 FTC 达成协议，承诺将隐私计划维持 20 年，并“向 FTC 报告任何向其他政府机构报告的与未经授权侵入个人消费者信息有关的事件”。

沙利文的律师辩称，他的行动是为了防止用户数据泄露，他通知了 CEO 和其他没有因该事件而受到指控的人，他的团队最终确定了黑客并让他们以真实身份签署 NDA承诺不泄露信息的名字。 在给 时代，沙利文的律师大卫·安杰利说，“先生。 沙利文在这起事件中以及在他杰出的职业生涯中唯一关注的是确保人们在互联网上的个人数据的安全。”