Le PDG d’Uber a révélé mardi que les données de 57 millions d’utilisateurs à travers le monde, dont celles de 600 000 chauffeurs, ont été piratées à la fin de 2016. Les noms des utilisateurs ainsi que leurs adresses électroniques et numéros de téléphone mobile ont été subtilisés, a fait savoir Dara Khosrowshahi, dans un communiqué. Les noms et numéros de permis de conduire des chauffeurs Uber ont en outre été piratés.

Lire aussi: «En cybersécurité, les Etats-Unis n’ont pas de leçons à donner»

Sur la base d’expertises externes, le patron de l’entreprise de VTC a affirmé que l’historique des trajets, les numéros de cartes et de comptes bancaires, les numéros de sécurité sociale et les dates de naissance des utilisateurs n’auraient en revanche pas été piratés.

Dara Khosrowshahi, qui a été nommé à la tête d’Uber à la fin d'août, a souligné qu’il a été informé «récemment» de cet incident. «Rien de cela n’aurait dû arriver, et je ne trouverai aucune excuse», a-t-il ajouté.

Des mesures de sécurité mises en place

Deux individus ne faisant pas partie de l’entreprise seraient responsables de ce piratage, a-t-il annoncé. Ils ont pénétré dans un cloud (serveur dématérialisé) utilisé par l’entreprise et ont téléchargé ces informations. Deux membres des services de sécurité d’Uber, «chargés de la gestion» du problème, et qui n’ont pas prévenu les utilisateurs que leurs données avaient été piratées, ne font par ailleurs «plus partie de l’entreprise».

«L’incident n’a pas atteint les systèmes de l’entreprise ni son infrastructure», a tenu à préciser Dara Khosrowshahi. Uber aurait versé 100 000 dollars aux hackers afin qu’ils ne divulguent pas l’existence de cet incident et détruisent les informations collectées, selon une source proche du dossier.

«Au moment de l’incident, nous avons immédiatement pris les mesures pour sécuriser les données et mettre fin à l’accès non autorisé des individus. Nous avons identifié ces individus et obtenu des assurances que les données collectées seraient détruites», a expliqué Dara Khosrowshahi. «Nous avons également mis en place des mesures de sécurité pour restreindre l’accès et renforcer les contrôles des comptes de notre base de données», a-t-il ajouté.

«Bien que nous n’ayons aucune preuve de fraude ou d’utilisation frauduleuse liées à cet incident, nous surveillons les comptes affectés et nous avons renforcé leur protection contre la fraude», a-t-il encore détaillé.

Un manque de transparence reproché

Dara Khosrowshahi a souligné qu’il s’était interrogé sur le fait que l’information n’ait été relayée qu’un an après les faits. Il estime en outre que l’entreprise a failli en n’informant pas immédiatement les victimes de ce piratage ainsi que les autorités. L’ancien patron controversé, Travis Kalanick, aurait été averti du piratage, selon une source proche du dossier.

Les premières critiques reprochent justement à l’entreprise de VTC son manque de transparence. «Toutes les entreprises feraient mieux de se souvenir de cela: faire une bourde, c’est mal, mais essayer de la cacher peut vous tuer», a écrit un expert en sécurité, Graham Cluley, sur un blog spécialisé. «Vous pouvez demander pardon de vous être fait pirater, mais beaucoup de personnes vont avoir du mal à vous pardonner et à oublier si vous leur avez volontairement caché la vérité.»

Lire aussi: Le piratage d’Equifax, qui a touché 145,5 millions d’Américains, était dû à une faille non corrigée

Ce piratage est le dernier d’une longue série aux Etats-Unis. Début septembre, c’est l’entreprise Equifax, qui récolte et analyse les données personnelles de clients qui sollicitent un crédit, qui avait révélé une intrusion de mi-mai à fin juillet dans ses bases de données. Les informations personnelles de plus de 145 millions de clients américains et d’autres au Canada et en Grande-Bretagne avaient alors été dérobées.

Equifax s’était vu reprocher le long délai entre le piratage et sa révélation au grand public. Les mêmes critiques avaient été adressées à Yahoo!, qui avait été victime d’une cyberattaque en 2013.