Uber e a resposta à violação que se tornou caso de governança

Resumo

• A intrusão e a resposta são eventos de responsabilidade separados.Os atacantes usaram credenciais roubadas para entrar em um espaço de trabalho privado do GitHub, encontraram uma chave de acesso da AWS em texto simples e baixaram arquivos de backup não criptografados do ambiente S3 da Uber. A equipe de segurança da Uber identificou o caminho de acesso e iniciou redefinições de senha, autenticação de dois fatores e rotação de chaves em poucas horas. A falha de divulgação posterior não foi a consequência inevitável de uma descoberta técnica lenta; ela seguiu decisões tomadas depois que os fatos materiais já eram conhecidos.
• A transação de US$ 100.000 não converteu extorsão em pesquisa.Os atacantes já haviam acessado sistemas sem autorização, copiado dados e exigido dinheiro para exclusão. A declaração de fatos admitida pela Uber diz que sua política tratava o uso de uma chave da AWS para extrair informações de usuários como fora da pesquisa aceitável. O Nono Circuito posteriormente decidiu que a autorização posterior não poderia apagar o acesso não autorizado e que a conduta ilegal não poderia ser lavrada por meio de um NDA.
• A falha de governança foi uma falha de roteamento de informações.O evento de 2016 se assemelhava muito à violação de chave de nuvem de 2014 que estava sob investigação da FTC. No entanto, os advogados que lidavam com essa investigação não receberam os novos fatos, a FTC continuou a receber um relato incompleto, e o novo diretor executivo posteriormente recebeu um resumo que omitia ou deturpava detalhes materiais. A lacuna de controle decisiva não era apenas se a segurança tinha um assento à mesa; era se a segurança, o jurídico, a privacidade, a alta administração e o conselho tinham rotas obrigatórias e documentadas para a mesma verdade do incidente.
• Armazenamento local e responsabilidade global moveram-se em direções opostas.Os arquivos comprometidos estavam armazenados em um ambiente de nuvem nos EUA, mas os registros diziam respeito a motoristas e passageiros em todo o mundo. Autoridades nos Estados Unidos, Reino Unido, França, Países Baixos, Austrália e Filipinas chegaram a conclusões e medidas diferentes. Centralizar dados e autoridade de resposta não centralizou deveres legais. Tornou uma classificação corporativa capaz de atrasar a notificação em várias jurisdições ao mesmo tempo.

O incidente tornou-se mais grave após o acesso ser fechado

O fato inicial mais útil no caso da Uber não é que um controle de segurança falhou. É que alguns controles de segurança funcionaram após a descoberta.

A Uber soube da violação em 14 de novembro de 2016, quando um atacante contatou a empresa e afirmou ter extraído um banco de dados. De acordo com a declaração de fatos que a Uber posteriormente admitiu em seu acordo de não persecução do Departamento de Justiça, a equipe de segurança determinou em cerca de um dia que uma pessoa não autorizada havia entrado em um repositório privado de código-fonte, localizado uma credencial da AWS e a usado para baixar dados.

Em poucas horas após o contato, a equipe vedou o ponto de acesso, iniciou uma redefinição de senha, estabeleceu autenticação de dois fatores para contas do GitHub e rotacionou chaves de serviço da AWS.

Essas ações são importantes porque dividem o caso em dois. O primeiro evento foi acesso não autorizado e roubo de dados. Os atacantes são diretamente responsáveis por esse crime. O segundo evento foi o tratamento institucional de fatos conhecidos: como o evento foi nomeado, quem foi informado, por que o dinheiro foi pago, o que a documentação de pagamento dizia, se as autoridades policiais e reguladoras foram contatadas e quando as pessoas afetadas receberam notificação. A incerteza técnica não pode explicar todo o atraso.

O registro admitido diz que a equipe soube rapidamente que o mesmo caminho geral implicado em uma violação anterior tinha levado a uma extração muito maior, incluindo aproximadamente 600.000 números de carteira de motorista.

Incidentes de segurança muitas vezes permanecem ambíguos no início. Um alerta pode representar varredura em vez de entrada, entrada em vez de aquisição, ou aquisição de um registro de teste em vez de um arquivo de produção. Essa incerteza justifica investigação. Não justifica uma classificação que ignora fatos já estabelecidos. Aqui, o contato incluiu prova. A investigação interna encontrou o caminho do repositório para a nuvem. A equipe soube que um grande banco de dados de motoristas havia sido copiado. As pessoas exigindo pagamento disseram que tinham os dados.

A resposta correta ainda poderia incluir negociação, contenção e esforços para garantir a exclusão, mas o evento havia cruzado a linha de um relatório de vulnerabilidade para uma intrusão com exfiltração.

Essa distinção explica por que o episódio permanece importante mesmo que os mecanismos originais de segurança em nuvem sejam agora familiares. Uma chave de longa duração estava presente no código-fonte. O acesso ao repositório dependia de contas individuais. A autenticação de múltiplos fatores não era exigida. Credenciais antigas aparentemente podiam ser reutilizadas. Os dados de backup eram legíveis após o uso da chave da nuvem. Cada um é um problema de controle técnico. No entanto, as consequências públicas se expandiram porque o processo de resposta da organização permitiu que uma violação conhecida fosse representada como outra coisa.

Um programa maduro de incidentes deve, portanto, fazer duas perguntas ao mesmo tempo. Primeiro, o acesso não autorizado foi interrompido? Segundo, cada decisão posterior ainda pode ser defendida para pessoas que não estavam na sala de resposta? A segunda pergunta cobre preservação de evidências, classificação, análise jurídica, aprovação de pagamento, deveres regulatórios, escalonamento ao conselho e comunicações. A equipe da Uber fez progressos rápidos na primeira pergunta. O registro mostra uma falha na segunda.

O que o registro da violação estabelece

A queixa revisada de 2018 da Comissão Federal de Comércio dos EUA fornece a descrição pública mais precisa do caminho de dados dos EUA, enquanto o acordo posterior da Uber com o DOJ converte vários fatos centrais de alegações em admissões corporativas.

Os atacantes usaram credenciais roubadas para obter acesso a um espaço de trabalho privado da Uber no GitHub. A FTC alegou que os engenheiros da Uber geralmente usavam contas individuais do GitHub associadas a endereços de e-mail pessoais, que a Uber não tinha política proibindo reutilização de credenciais e que não exigia autenticação de múltiplos fatores para acesso ao repositório. Os invasores disseram que usaram senhas expostas em outras grandes violações. Uma vez dentro do repositório privado, encontraram uma chave de acesso da AWS em texto simples.

Usaram essa chave para alcançar o armazenamento de dados Amazon S3 da Uber e baixaram 16 arquivos entre 13 de outubro e 15 de novembro de 2016.

Para passageiros e motoristas dos EUA, a FTC listou aproximadamente 25,6 milhões de nomes e endereços de e-mail, 22,1 milhões de nomes e números de telefone celular e 607.000 nomes e números de carteira de motorista. Estas são populações de campos, não números a serem somados. Uma pessoa poderia aparecer em mais de um grupo. A queixa também disse que quase todas as informações expostas dos EUA foram coletadas antes de julho de 2015 e armazenadas em arquivos de backup de banco de dados não criptografados.

A declaração pública de 21 de novembro de 2017 da Uber usou uma população global de 57 milhões de usuários, incluindo os motoristas dos EUA. Ela disse que as informações afetadas incluíam nomes, endereços de e-mail e números de telefone celular, com números de carteira de motorista para cerca de 600.000 motoristas dos EUA. A Uber disse que seus especialistas forenses externos não encontraram indicação de que histórico de localização de viagens, números de cartão de crédito, números de conta bancária, números de Seguro Social ou datas de nascimento foram baixados.

Também disse que não viu evidências de fraude ou uso indevido ligado ao incidente.

Essas declarações negativas exigem redação cuidadosa. Elas são o relato da empresa sobre o que sua investigação não encontrou, não prova de que nenhuma outra cópia jamais existiu ou de que nenhuma tentativa subsequente ocorreu. Autoridades públicas posteriores não encontraram evidências de uso indevido adicional nos registros que revisaram, mas não alegaram uma prova matemática de exclusão. A Comissão Nacional de Privacidade das Filipinas, por exemplo, disse em sua resolução de julho de 2019 que seus investigadores não encontraram os dados na superfície, deep web ou dark web e que nenhum dano imediato apareceu.

Decidiu que nenhuma notificação ou ação adicional era necessária naquele momento, sem prejuízo de novas informações. Essa é uma conclusão regulatória limitada, não uma constatação universal sobre cada pessoa afetada.

A autoridade de dados francesa adotou a posição complementar. Em sua decisão de sanção de dezembro de 2018, a CNIL observou que nenhum dano relatado havia sido estabelecido, mas rejeitou a ideia de que isso provava uma ausência total de dano. Os atacantes haviam levado dados de identificação e, portanto, tinham uma oportunidade para uso posterior. Ambas as proposições podem ser verdadeiras: os investigadores podem não encontrar evidências de uso indevido, enquanto uma empresa ainda não pode provar que todo risco terminou quando um atacante prometeu exclusão.

O conjunto de dados também não deve ser inflado. O registro público revisado não mostra que históricos de viagens ou números de cartão de pagamento estavam nos arquivos baixados. Não estabelece que cada registro de usuário global continha todos os campos listados. Não converte automaticamente 57 milhões de registros em 57 milhões de pessoas naturais únicas. Tampouco mostra que todos os dados armazenados da Uber foram alcançados. Uma análise responsável preserva a escala sem adicionar mais categorias sensíveis do que a evidência suporta.

Uma linha do tempo da falha de resposta

A sequência é central porque mostra quando os deveres técnicos, jurídicos e de governança divergiram.

O precursor de 2014 não está incluído para mesclar duas violações. Eles foram incidentes diferentes. Isso importa porque o evento anterior envolvia uma chave AWS no GitHub, um arquivo de motorista não criptografado e uma investigação da FTC sobre as representações de segurança resultantes. Os fatos admitidos pela Uber dizem que a FTC exigiu informações sobre qualquer violação ou suspeita de violação de 1º de janeiro de 2014 até o cumprimento total da demanda. O evento de 2016 surgiu nesse contexto específico, não em um vácuo legal.

As datas também expõem um erro narrativo comum. O pagamento não foi feito apenas depois que a Uber soube as identidades verificadas dos atacantes e obteve garantia de exclusão. O acordo com o DOJ diz que os atacantes sacaram os US$ 100.000 em dezembro de 2016, antes da identificação e antes que membros da equipe de segurança recebessem garantias de que os dados haviam sido excluídos. O relato de confissão de 2019 dos atacantes fornece as datas de pagamento e diz que eles assinaram acordos sob seus nomes verdadeiros apenas depois que a Uber os localizou em janeiro.

O rótulo de bug bounty falhou nos fatos

Um programa de bug bounty é um canal autorizado para encontrar e relatar vulnerabilidades sob regras publicadas. Pode criar enorme valor público. Pesquisadores fornecem expertise que uma empresa pode não ter, e uma política clara pode dar a eles uma rota para relatar uma fraqueza antes que um ator criminoso a explore. A categoria depende de autorização, boa-fé e minimização de danos, não se a pessoa que contata a empresa sabe como hackear.

A declaração de fatos admitida pela Uber é excepcionalmente específica sobre o limite em novembro de 2016. Sua política convidava relatos de vulnerabilidades que afetavam usuários e previa recompensas para relatos de acesso responsáveis, mas também tratava o uso de uma chave de acesso da AWS para extrair informações de usuários como inaceitável. Os atacantes não pararam em provar que uma chave funcionava. Eles acessaram sistemas privados, copiaram grandes arquivos, enviaram uma amostra como prova e exigiram dinheiro em troca de exclusão.

A explicação contemporânea da FTC do caso revisado igualmente distinguiu um destinatário legítimo de bug bounty de atacantes que exploraram maliciosamente uma fraqueza e adquiriram informações pessoais de milhões de consumidores.

O canal de pagamento não alterou essa sequência. A opinião emendada de 2025 do Nono Circuito em Estados Unidos v. Sullivan decidiu que a autorização sob o Computer Fraud and Abuse Act é avaliada no momento do acesso. O tribunal rejeitou o argumento de que um NDA posterior poderia autorizar retroativamente a entrada. Seu raciocínio protege ambos os lados da pesquisa legítima: uma empresa não pode limpar extorsão após o fato, e também não pode retirar retroativamente a autorização de ontem para tornar um pesquisador de boa-fé um criminoso hoje.

As diretrizes de divulgação atuais do HackerOne capturam a mesma distinção operacional. Elas pedem que os pesquisadores respeitem as regras do programa, protejam a privacidade, evitem acessar ou destruir dados de outro usuário e nunca explorem intencionalmente outros sem permissão. Essas diretrizes atuais não são evidência de todo termo contratual que se aplicava à Uber em 2016. Elas são úteis porque mostram por que uma plataforma usada para administrar um pagamento não determina a natureza da conduta subjacente.

A classificação danificou mais do que a semântica. Uma vez que um roubo de dados é colocado em um fluxo de trabalho de relato de vulnerabilidade, a organização pode aplicar a cadeia de aprovação, registros, métricas e suposições de confidencialidade errados. Uma equipe de bug bounty pode estar autorizada a validar um relato e emitir uma recompensa. Pode não estar autorizada a tomar uma decisão de notificação de violação, negociar com um extorsionário, fazer representações a um regulador, preservar evidências criminais, aprovar um pagamento de seis dígitos ou decidir o que o conselho deve saber.

A audiência no Senado de 2018 sobre a violação da Uber e programas de bug bounty reflete a preocupação institucional. A questão não era se as recompensas deveriam existir. Era se um mecanismo de segurança valioso havia sido usado para ocultar um incidente de segurança e se esse uso poderia prejudicar a confiança entre pesquisadores, empresas e o público. A resposta é preservar o limite: descoberta dentro do escopo e de boa-fé pertence ao processo de bug bounty;

aquisição não autorizada, demandas coercitivas de pagamento e exposição material do consumidor pertencem à resposta a incidentes e escalonamento jurídico, mesmo que a mesma plataforma de relato receba a primeira mensagem.

O pagamento foi uma decisão de risco, não prova de recuperação

Organizações às vezes pagam a um terceiro para apoiar divulgação, remediação, recuperação ou exclusão. O rótulo na entrada contábil não resolve se o pagamento é lícito, prudente ou suficiente. A questão responsável é que autoridade, evidência e salvaguardas cercam a decisão.

No caso da Uber, o pagamento foi de US$ 100.000 em bitcoin, entregue em duas parcelas por meio do terceiro que administrava seu programa de bug bounty. Os atacantes concordaram com confidencialidade e exclusão. Os NDAs, no entanto, afirmavam que eles não haviam levado ou armazenado dados, embora o pessoal da Uber soubesse que sim. Essa premissa falsa enfraqueceu o documento como um registro honesto do evento. Ele descrevia a condição que a empresa desejava que fosse verdade, em vez da condição que a investigação havia estabelecido.

Promessas de exclusão também têm um limite probatório. Um atacante pode demonstrar exclusão de uma cópia visível enquanto retém outra cópia, tendo compartilhado os dados ou faltando controle sobre os sistemas de um colaborador. Isso não significa que uma empresa nunca deva negociar a exclusão. Significa que a garantia de exclusão é uma mitigação entre várias, não um substituto para análise de notificação, monitoramento, engajamento policial ou apoio às pessoas afetadas. A declaração pública da Uber disse que identificou os indivíduos e obteve garantias de destruição. As confissões posteriores estabelecem quem eles eram e o que admitiram.

Nenhuma delas cria prova técnica completa de que nenhuma cópia adicional existia em lugar algum.

A decisão de pagamento deveria ter acionado um portal multifuncional com pelo menos sete perguntas registradas:

1. Autorização:O acesso foi permitido sob uma política de pesquisa publicada no momento em que ocorreu?
2. Dados:O que foi visualizado, copiado, retido ou compartilhado, e que evidência suporta cada resposta?
3. Ameaça:O contato é um relato de boa-fé, uma demanda de extorsão, uma preocupação de sanções, uma campanha criminosa ativa ou uma mistura que requer aconselhamento policial?
4. Autoridade:Quem pode aprovar o valor, o canal de pagamento, a linguagem contratual e qualquer exceção aos limites normais de bug bounty?
5. Notificação:Quais pessoas, reguladores, parceiros de negócios, seguradoras e órgãos policiais podem exigir ou se beneficiar de notificação imediata?
6. Evidência:Que logs, comunicações, informações de carteira, amostras e imagens forenses devem ser preservados antes que a remediação mude o ambiente?
7. Garantia:O que pode realmente ser verificado sobre contenção e exclusão, e que incerteza residual permanece?

O julgamento final da Califórnia posteriormente converteu grande parte dessa lógica em governança vinculante. A sentença proferida em 2018 exigiu um plano de resposta a incidentes e notificação com funções definidas, contatos de backup, caminhos de escalonamento, testes periódicos, determinações legais escritas e documentação das ações de resposta. Também exigiu que o executivo de segurança reportasse trimestralmente ao CEO, ao diretor jurídico e ao conselho, incluindo qualquer pagamento acima de US$ 5.000 a um terceiro que relatasse um incidente de segurança de dados por meio de um canal como um programa de bug bounty.

Esse remédio é revelador. A resposta a um pagamento problemático não foi uma proibição categórica de recompensas de bug bounty. Foi visibilidade. Um pagamento grande ou vinculado a incidentes não deve permanecer uma transação isolada dentro de uma equipe de segurança. Deve aparecer no mesmo registro de governança que o incidente, a conclusão jurídica, a evidência, o relatório executivo e o plano de remediação.

O escalonamento jurídico falhou mesmo com advogados envolvidos

A presença de advogados não prova que ocorreu escalonamento jurídico. O registro da Uber mostra por que o roteamento organizacional importa mais do que títulos de cargo.

Sullivan não era apenas diretor de segurança. Em agosto de 2016, ele também detinha o título de vice-conselheiro geral, e havia participado profundamente na resposta da Uber à FTC. O acordo com o DOJ diz que a Uber o designou para testemunhar sobre S3, criptografia e armazenamento de dados pessoais em 4 de novembro, dez dias antes de saber da nova violação. Também diz que as demandas escritas da FTC cobriam acesso não autorizado, que dados poderiam ser acessados, o que foi copiado ou removido, e quando consumidores, autoridades policiais e outros foram notificados.

No entanto, os advogados que lidavam com a investigação da FTC não receberam os fatos de 2016. O registro admitido pela Uber descreve um rascunho de resposta de dezembro de 2016 afirmando que todos os novos backups de banco de dados haviam sido criptografados desde agosto de 2014. O arquivo levado na violação de 2016 havia sido criado após essa data e não estava criptografado. Sullivan recebeu o rascunho e discutiu uma narrativa sobre controles de acesso melhorados, mas não contou ao advogado sobre o incidente contraditório.

Em abril de 2017, ele aprovou uma carta pedindo à FTC que fechasse a investigação, novamente sem que a violação fosse divulgada.

A distinção não é que a segurança deva sempre divulgar conversas brutas de incidentes a todos os advogados. A distribuição excessiva pode prejudicar uma investigação, expor dados pessoais e confundir fatos preliminares com conclusões. A falha foi que um assunto diretamente relacionado a uma demanda regulatória ativa não chegou aos advogados responsáveis por respondê-la. Controles de necessidade de conhecimento tornaram-se uma forma de impedir que as pessoas com necessidade legal de saber aprendessem os fatos.

Este é um risco estrutural sempre que o mesmo líder detém operações de segurança, investigações, relações com a aplicação da lei e parte da resposta jurídica. A expertise combinada pode acelerar decisões, mas também pode remover o desafio independente. Se a pessoa que classifica o evento também controla os fatos, o canal de pagamento e a interface com o regulador, pode não haver um ponto automático em que outro oficial responsável teste a classificação.

Um design de escalonamento melhor não depende do julgamento de uma pessoa. Ele usa gatilhos objetivos: aquisição não autorizada confirmada de dados pessoais; um identificador governamental; uma demanda de extorsão; um pagamento acima de um valor definido; fatos inconsistentes com uma representação regulatória anterior; um assunto dentro de uma demanda investigativa civil; ou um resumo material preparado para um executivo. Qualquer gatilho pode exigir notificação paralela ao comandante do incidente, ao consultor de privacidade, a um oficial jurídico supervisor e a um executivo fora da cadeia de resposta imediata.

O sistema deve registrar quando cada função foi notificada e qual decisão tomou.

A experiência do novo diretor executivo em 2017 mostra por que os resumos também precisam de controles. Os fatos admitidos pela Uber dizem que uma equipe preparou um briefing observando que uma parte não autorizada havia alcançado buckets da AWS contendo potencialmente todos os dados de passageiros e motoristas em texto simples e ainda possuía os dados quando contatou a Uber. O resumo posteriormente enviado ao novo CEO reduziu isso a acesso a alguns dados de passageiros e motoristas, omitiu a posse no momento do contato e colocou incorretamente o pagamento após a identificação.

O conselho ou CEO não pode governar um incidente que recebem apenas de forma atenuada.

Um resumo executivo de incidente deve, portanto, preservar cinco fatos inegociáveis: o que está confirmado; o maior escopo crível; o que permanece desconhecido; que deveres externos podem ser acionados; e quais afirmações conflitam com declarações anteriores da empresa. Pode ser conciso. Não pode remover os próprios detalhes que tornam o escalonamento necessário.

Notificação atrasada transferiu risco para passageiros e motoristas

A notificação é frequentemente descrita como um prazo de conformidade. É também uma alocação de poder de decisão.

Quando as pessoas recebem notificação oportuna, elas podem mudar como respondem a mensagens suspeitas, monitorar contas, contatar uma agência de veículos automotores, preservar evidências de uso indevido e distinguir uma comunicação real da empresa de uma tentativa de personificação. O atraso mantém essas escolhas dentro da empresa. A empresa pode acreditar que exclusão, monitoramento ou baixo uso indevido observado torna a notificação desnecessária. A pessoa afetada não pode avaliar essa conclusão porque a pessoa não sabe que o evento ocorreu.

Os campos de contato expostos tinham valor prático de abuso mesmo sem senhas ou cartões de pagamento. Um nome ligado a um endereço de e-mail e número de celular diz a um atacante como alcançar a mesma pessoa por meio de múltiplos canais. O status de motorista fornece contexto ocupacional. Um número de carteira de motorista adiciona um identificador governamental durável. As informações podem reduzir o custo de pesquisa de uma mensagem convincente, apoiar a sondagem de recuperação de conta ou ajudar um impostor a se passar por suporte da plataforma.

Esta é a economia do contato abusivo: os dados não precisam completar fraude por si só para tornar o contato direcionado mais barato e mais crível.

O risco deve permanecer limitado pela evidência. O registro revisado não estabelece uma campanha de phishing ou fraude de identidade causada pelos arquivos de 2016. A Uber disse que não viu uso indevido vinculado; autoridades australianas e filipinas também relataram não haver evidência de uso indevido adicional nos registros que examinaram. A análise é sobre capacidade e tempo de proteção perdido, não uma afirmação de que cada registro produziu dano.

As orientações governamentais explicam por que os campos ainda importam. O guia de violação do IdentityTheft.gov diz que um ladrão pode tentar personificar alguém usando informações de carteira de motorista e recomenda contatar a agência de veículos automotores relevante. A FTC advertiu separadamente em um aviso ao consumidor sobre golpes de suporte direcionados a motoristas de entrega e restaurantes que impostores podem buscar endereço de e-mail, número de telefone, detalhes bancários ou códigos de verificação inventando um problema de conta ou pedido. Esse aviso posterior não prova uso dos dados de 2016 da Uber.

Ilustra o mesmo canal de contato de baixo custo no mercado de trabalho por plataforma.

A resposta eventual da Uber em novembro de 2017 deu aos motoristas dos EUA afetados notificação individualizada, monitoramento de crédito e proteção contra roubo de identidade. Notificou reguladores e sinalizou contas para proteção adicional contra fraude. Essas foram mitigações concretas. Elas também demonstram que a empresa tinha medidas que poderia oferecer uma vez que o evento foi adequadamente classificado. O atraso de mais de um ano adiou essas medidas.

A empresa não tinha um relógio global de notificação. Leis estaduais dos EUA, leis nacionais europeias, princípios de privacidade australianos e regras filipinas diferiam em escopo, gatilho e remédio. A conclusão analítica segura vem do registro de execução, não de projetar a lei atual de uma jurisdição sobre cada pessoa. Autoridades da Califórnia alegaram que a Uber falhou em notificar mais de 174.000 motoristas da Califórnia conforme exigido e resolveu reivindicações nacionais com um acordo de US$ 148 milhões.

A sentença final expressamente diz que foi proferida sem julgamento ou adjudicação e sem que a Uber admitisse fatos ou responsabilidade alegados. O pagamento e a liminar vinculante são finais; as alegações estaduais subjacentes não foram testadas em julgamento.

A localidade dos dados não localizou a responsabilidade

O ambiente de nuvem estava nos Estados Unidos. As pessoas não estavam.

Este caso separa quatro formas de localidade que são frequentemente colapsadas em uma: onde os arquivos são armazenados, onde as decisões operacionais são tomadas, onde as pessoas afetadas vivem e qual lei se aplica. Mover dados para um serviço de nuvem hospedado nos EUA respondeu à primeira pergunta. Não respondeu às outras três.

O anúncio de determinação de 2021 do Comissário de Informação Australiano é a declaração pública mais clara do arranjo transfronteiriço. O OAIC descobriu que cerca de 1,2 milhão de australianos foram afetados e que suas informações haviam sido transferidas diretamente para servidores dos EUA sob um arranjo de terceirização intragrupo. A empresa dos EUA argumentou que não estava sujeita à Lei de Privacidade Australiana. O Comissário concluiu que tanto a Uber Technologies nos Estados Unidos quanto a Uber B.V. na Holanda tinham que cumprir, encontrou interferências na privacidade e ordenou políticas, programas e revisão independente.

A França alcançou a questão do controle por uma rota diferente. A decisão da CNIL descreveu um serviço global projetado e desenvolvido nos Estados Unidos, uma entidade holandesa apresentada como controladora para a Europa e um estabelecimento francês realizando marketing e suporte locais. Concluiu que as empresas dos EUA e holandesa determinaram conjuntamente propósitos e meios essenciais, enfatizando que a entidade dos EUA gerenciou as consequências da violação. A decisão aplicou a lei francesa por meio do estabelecimento francês e impôs uma sanção de segurança de 400.000 euros relativa a aproximadamente 1,4 milhão de usuários na França.

Isso é soberania de dados como controle prático: contratos importam, mas uma autoridade também pode examinar quem realmente projetou o serviço, selecionou provedores essenciais e dirigiu a resposta ao incidente.

O aviso de penalidade monetária de 2018 do Comissário de Informação do Reino Unido abordou cerca de 2,7 milhões de clientes do Reino Unido e impôs uma penalidade de GBP385.000 sob a Lei de Proteção de Dados de 1998, anterior ao GDPR. A autoridade holandesa impôs separadamente EUR600.000 à Uber B.V. e à Uber Technologies por notificação tardia; sua decisão de penalidade publicada identificou aproximadamente 174.000 pessoas afetadas nos Países Baixos.

O mais recente Formulário 10-K de 2025 da Uber relata que autoridades supervisoras do Reino Unido, Países Baixos e França impuseram multas totalizando aproximadamente US$ 1,6 milhão no final de 2018.

O registro filipino adiciona outro limite. A Comissão Nacional de Privacidade inicialmente criticou o detalhe na notificação da Uber, depois relatou aproximadamente 171.000 passageiros e motoristas filipinos com base em registros de números de celular, e concluiu em 2019 que nenhuma ação adicional era necessária naquele momento. Também descobriu que uma carteira de motorista filipina havia sido incluída em um grupo inicialmente tratado como exposição dos EUA e que o motorista havia sido notificado. Um conjunto de dados global nem sempre se classifica claramente por nacionalidade, residência, registro de telefone ou emissor de documento.

Essas dimensões podem apontar para diferentes populações de notificação.

Nenhum dos números nacionais deve ser adicionado ao total global de 57 milhões. Eles são subconjuntos jurisdicionais produzidos para diferentes fins legais. Eles mostram por que a classificação centralizada de incidentes cria risco de governança concentrado. Uma decisão em uma organização de segurança dos EUA atrasou a informação necessária para autoridades e pessoas em vários sistemas legais.

Uma resposta global defensável precisa de um registro de localidade antes de um incidente: entidade legal, função de controlador ou processador, região de armazenamento, caminho de transferência, residência do titular dos dados, país emissor de identificador, regulador, gatilho de notificação e contato local. Durante um incidente, a organização deve mapear campos confirmados contra esse registro. A equipe jurídica pode então tomar decisões específicas da jurisdição sem fingir que a localização física do bucket controla todos os deveres.

A responsabilidade foi distribuída, mas não vaga

Organizações complexas frequentemente descrevem responsabilidade como compartilhada. Essa frase é útil apenas se cada parte puder ser ligada ao controle prático.

Os atacantes

Brandon Glover e Vasile Mereacre admitiram que usaram credenciais roubadas, organizaram acesso a bancos de dados corporativos da AWS, baixaram informações confidenciais e exigiram dinheiro para exclusão. Eles se declararam culpados em 2019 de conspiração para cometer extorsão envolvendo computadores. Sua conduta foi a causa direta do acesso não autorizado, roubo e demanda coercitiva. Fraquezas de segurança e ocultação corporativa não reduzem essa responsabilidade criminal.

Joseph Sullivan

Um júri federal condenou Sullivan em outubro de 2022 por obstruir o processo da FTC e por misprision de um crime. O registro de condenação do DOJ diz que o júri ouviu evidências de que ele controlou rigidamente o conhecimento, organizou pagamento e NDAs contendo uma falsa representação de não dados, reteve o evento dos advogados que lidavam com a investigação da FTC e posteriormente deturpou fatos à nova administração e consultores externos. Em maio de 2023, o tribunal distrital impôs três anos de liberdade condicional e uma multa de US$ 50.000, conforme registrado no anúncio de sentença do DOJ.

O Nono Circuito confirmou ambas as acusações em março de 2025 e emitiu uma opinião emendada ao negar reexame em novembro de 2025. Sullivan contestou as instruções ao júri, a suficiência da evidência e uma decisão probatória. O tribunal rejeitou essas contestações. Ele então peticionou à Suprema Corte dos EUA. O registro do tribunal para Sullivan v. Estados Unidos registra a negativa de certiorari em 29 de junho de 2026. Na data da publicação, a condenação e a sentença permanecem.

O resultado legal não deve ser generalizado em responsabilidade criminal automática para todo diretor de segurança da informação que faz um julgamento contestado de notificação. A condenação dependia de um registro específico: um processo pendente da FTC, conhecimento do crime dos hackers, ocultação afirmativa, linguagem contratual falsa, informação regulatória incompleta e deturpações posteriores. Líderes de segurança precisam de espaço para investigar relatos incertos. Eles não adquirem um privilégio para mudar fatos estabelecidos porque a divulgação refletiria mal em representações anteriores.

Uber Technologies

A condenação individual não esgotou a responsabilidade corporativa. Em julho de 2022, a Uber celebrou um acordo de não persecução resolvendo a investigação federal sobre a manipulação da violação pela empresa. A Uber admitiu e aceitou responsabilidade por atos de seus diretores, executivos, funcionários e agentes descritos na declaração de fatos. O DOJ concordou em não processar as entidades da Uber por essa conduta se a Uber cumprisse o acordo, citando nova liderança, divulgação pronta em 2017, funções de conformidade mais fortes, cooperação, a ordem da FTC e acordos estaduais.

Essa resolução não é nem uma absolvição nem uma condenação corporativa. É um exercício negociado de discrição processual apoiado por admissões e condições. Reconhece remediação enquanto preserva a proposição de que a empresa é responsável por conduta realizada dentro de papéis organizacionais.

Outros executivos, advogados e o conselho

O registro público não apoia tratar toda pessoa que ouviu alguma versão do incidente como criminalmente responsável. A opinião do Nono Circuito diz que Sullivan informou o então CEO Travis Kalanick que os hackers haviam assinado o contrato. Outros registros judiciais e de acusação contêm comunicações sobre tratar o assunto por meio do programa de bug bounty. Eles não fornecem uma adjudicação final do conhecimento, intenção ou responsabilidade legal de Kalanick, e ele não foi condenado neste caso.

Da mesma forma, um advogado designado para a equipe de segurança ajudou a redigir os NDAs, enquanto os advogados responsáveis pelo assunto da FTC foram mantidos alheios à violação. Esses são papéis e estados de conhecimento diferentes. A revisão interna posterior do conselho ajudou a trazer o evento à luz, mas o registro público revisado não fornece um mapa completo e contemporâneo do que cada diretor sabia em novembro e dezembro de 2016.

A lição de governança não é preencher essas lacunas com acusação. É eliminar a dependência de fragmentos informais de conhecimento. Um pagamento desse tamanho, aquisição confirmada de identificadores governamentais, uma repetição de um caminho de controle sob investigação regulatória e um NDA que contradiz fato forense devem cada um criar um escalonamento direto e registrado à liderança jurídica independente e ao conselho ou a um comitê designado.

Provedores de nuvem e repositório

O registro público não estabelece um comprometimento das plataformas subjacentes do GitHub ou da AWS. Os atacantes usaram credenciais de usuário roubadas para entrar no repositório privado da Uber e depois usaram uma chave AWS da Uber encontrada no código. Os serviços do provedor relevante realizaram ações autenticadas. A responsabilidade pela chave exposta, configurações de identidade, acesso ao repositório e backups legíveis permaneceu com a Uber sob os fatos descritos pelos reguladores.

O design do provedor ainda molda as defesas disponíveis. A AWS havia publicado orientação em 2014 para uma chave de acesso inadvertidamente exposta que recomendava excluir ou rotacionar a chave, revisar o acesso à conta, verificar evidências do S3 e CloudTrail e usar funções ou federação para evitar credenciais de longa duração. As melhores práticas atuais do AWS IAM vão além em direção a credenciais temporárias, federação, MFA, privilégio mínimo e remoção de permissões não utilizadas.

A orientação atual não pode provar exatamente quais controles a Uber poderia implantar em cada carga de trabalho de 2016, mas a orientação de 2014 mostra que rotação de credenciais, revisão de logs e redução da exposição de chaves de longa duração não foram inventadas após este evento.

Os remédios revelam os controles ausentes

Ordens de execução são mais úteis quando lidas como um mapa de controle em vez de uma lista de multas.

A ordem revisada final da FTC proibiu deturpações sobre monitoramento e proteção de informações pessoais. Exigiu um programa de privacidade abrangente cobrindo gerenciamento de chaves de acesso, armazenamento seguro em nuvem, relatos de vulnerabilidade e programas de bug bounty, e prevenção, detecção e resposta. Exigiu avaliações independentes a cada dois anos por 20 anos.

Também criou um dever direto de relatar incidentes à FTC quando a lei dos EUA exigisse que a Uber notificasse outra entidade governamental, e exigiu retenção de relatos de bug bounty, comunicações com a aplicação da lei e registros que contradissessem ou qualificassem a conformidade.

A queixa da FTC foi emitida em um assunto de consentimento. A Uber nem admitiu nem negou suas alegações, exceto por fatos jurisdicionais. A ordem final é vinculante; as alegações ainda devem ser rotuladas como alegações. Essa distinção processual não enfraquece o sinal operacional. A FTC primeiro propôs uma resolução mais estreita do assunto de 2014. Uma vez que soube do evento de 2016, retirou a aceitação e expandiu a ordem. A violação atrasada mudou a visão do regulador sobre que evidência e controles de relato eram necessários.

O julgamento estadual adicionou um executivo de segurança, avaliações independentes, requisitos de criptografia para backups em nuvem, controles de repositório, um plano de incidentes, determinações legais escritas, relatórios ao conselho e um programa de integridade corporativa. Expressamente vinculou o acesso aceitável a repositórios a senhas fortes únicas, MFA ou proteção equivalente, limites de bloqueio e logs de acesso. Também exigiu treinamento e medidas disciplinares relativas a credenciais.

As decisões estrangeiras forneceram dimensões adicionais. A França focou em precauções de segurança e controle factual entre entidades. Os Países Baixos focaram em notificação tardia. O Reino Unido examinou falhas de segurança sob sua lei então aplicável. A Austrália focou em proteção razoável, retenção e destruição, sistemas de conformidade e arranjos corporativos no exterior. As Filipinas aplicaram sua própria análise de notificação e dano e eventualmente encerraram o assunto sem ação adicional com base na evidência então disponível.

Esses resultados não são intercambiáveis. Eles diferem porque leis, evidência, partes e remédios diferem. Juntos, mostram que uma resposta global a violações deve carregar vários tipos de responsabilidade ao mesmo tempo: técnica, do consumidor, regulatória, corporativa e criminal.

Um modelo de controle de resposta para incidentes futuros

O caso da Uber apoia um modelo prático organizado em torno da preservação da verdade institucional.

Um registro de incidente.Operações de segurança, privacidade, jurídico, comunicações, seguros e administração executiva devem trabalhar a partir de uma cronologia controlada que preserva observações originais e correções posteriores. Um rótulo pode mudar à medida que os fatos se desenvolvem, mas a evidência original não pode ser sobrescrita. O registro deve distinguir acesso confirmado, aquisição suspeita, aquisição verificada, alegações do ator, inferência da empresa e desconhecidos.

Classificação dupla.Um relato pode ser tanto um relato de vulnerabilidade quanto um incidente de segurança. Encontrar uma fraqueza pode merecer crédito técnico mesmo quando a conduta posterior excede o escopo. A classificação do incidente deve ser baseada em fatos de acesso e dados, não no canal de entrada. Qualquer aquisição não autorizada, demanda coercitiva ou amostra de dados pessoais deve rotear o assunto para fora do manuseio exclusivo de bug bounty.

Roteamento jurídico independente.Um consultor jurídico integrado a uma equipe de segurança pode aconselhar a investigação, mas um advogado supervisor de privacidade ou regulatório deve avaliar independentemente a notificação e representações anteriores. Se uma investigação, ordem ou demanda civil de uma agência estiver aberta, um segundo advogado responsável por esse assunto deve receber os fatos diretamente. O líder do incidente não deve decidir sozinho se o evento é relevante.

Governança de pagamentos.Pagamentos a pesquisadores, extorsionários ou intermediários devem ter limites vinculados à aprovação executiva, revisão jurídica, finanças, triagem de sanções quando aplicável, consulta à aplicação da lei e relatórios ao conselho. O acordo escrito deve descrever os fatos conhecidos com precisão. Uma cláusula de exclusão não deve afirmar que nenhum dado foi levado. A empresa deve registrar o que a evidência de exclusão pode e não pode provar.

Mapeamento de jurisdição.A equipe de resposta deve conectar campos afetados a entidades legais, pessoas e reguladores. Armazenamento em uma região não estabelece residência ou lei aplicável. Identificadores governamentais exigem atenção à jurisdição emissora bem como à geografia da conta. Notificações locais podem exigir diferentes populações e conteúdo.

Resumos executivos com revisão de red team.Antes que um resumo material chegue ao CEO ou ao conselho, alguém fora da cadeia de resposta deve compará-lo com descobertas forenses, registros de pagamento e aconselhamento jurídico. Qualquer redução de uma descoberta interna de alto escopo para linguagem executiva mais suave deve ser explicada, não editada silenciosamente.

Contenção preservadora de evidências.Redefinições de senha, rotação de chaves e fechamento de acesso são urgentes, mas devem ser coordenados com a preservação de logs. A publicação de resposta a violações de 2016 da FTC, lançada semanas antes de a Uber saber deste evento, aconselhou as empresas a proteger operações, mobilizar equipes forenses e jurídicas, preservar evidências, criar um plano de comunicações e fornecer notificação de violação. O ponto não é que um guia geral decida um dever legal particular. Mostra que contenção, aconselhamento, evidência e notificação já eram reconhecidos como fluxos de trabalho simultâneos.

Relatórios mensurados.Os conselhos devem receber mais do que contagens de incidentes. Medidas úteis incluem tempo da aquisição confirmada até o consultor de privacidade, tempo até revisão jurídica supervisora, tempo até mapa de jurisdição, número e valor de pagamentos vinculados a incidentes, exceções a portões de pagamento, notificações feitas ou recusadas, razões para recusa, contradições com representações anteriores e remediação atrasada. Métricas tornam a rota de informação auditável.

A descrição pública atual da Uber é materialmente mais estruturada. Seu Formulário 10-K de 2025 diz que o CISO relata questões de cibersegurança ao conselho e ao Comitê de Auditoria em trimestres alternados, certos incidentes chegam ao conselho trimestralmente, o CISO e o diretor de privacidade presidem conjuntamente um Conselho de Privacidade e Cibersegurança, exercícios de simulação incluem jurídico, comunicações, finanças e relações com investidores, e a equipe jurídica apoia a análise de divulgação de incidentes. Estas são descrições da empresa do programa atual, não prova independente de que todo controle opera efetivamente.

Elas, no entanto, rastreiam os caminhos multifuncionais que estavam ausentes ou foram contornados em 2016.

O que permanece desconhecido

O registro público é detalhado o suficiente para apoiar alta confiança na falha central de resposta, mas não é completo.

Não divulga o escopo completo de permissão da chave AWS, a lista completa e o tamanho de todos os 16 arquivos, todos os buckets S3 alcançados, todos os logs de nuvem relevantes ou o design exato de criptografia e gerenciamento de chaves. Não mostra se a credencial do repositório pertencia a um engenheiro ou mais de um, que violação anterior expôs a senha reutilizada, ou se a varredura automatizada de segredos poderia ter encontrado a chave antes dos atacantes.

Não fornece uma contagem definitiva de pessoas únicas em todos os 57 milhões de registros globais. Contagens jurisdicionais usam unidades e filtros diferentes. O registro público não mapeia cada campo para cada pessoa ou resolve todo país de residência, registro de telefone, documento de motorista e relação de entidade legal.

Não prova tecnicamente a destruição de toda cópia. Também não estabelece uma campanha de fraude downstream concluída ligada aos dados. Constatações de nenhuma evidência de uso indevido e incerteza residual devem permanecer lado a lado.

Não divulga toda conversa interna, todo destinatário de cada briefing ou o estado completo de conhecimento de cada executivo, advogado e diretor em 2016 e 2017. O veredito criminal estabelece a responsabilidade de Sullivan em duas acusações. O acordo corporativo de não persecução estabelece as admissões da Uber e a responsabilidade aceita pela conduta organizacional descrita. Nenhum permite conclusões não apoiadas sobre a intenção criminal de pessoas que não foram julgadas.

Não torna públicas todas as avaliações independentes sob as ordens da FTC e estaduais. O registro de valores mobiliários atual da Uber descreve governança e certificações, mas leitores externos não podem testar o processo completo de roteamento de incidentes, registros de pagamento de bug bounty, exceções de avaliação ou evidência de remediação.

Finalmente, o registro legal continuou a mudar. A Suprema Corte negou a petição de Sullivan apenas onze dias antes da data de publicação deste artigo. Essa negação deixa o julgamento do Nono Circuito em vigor, mas não transforma cada frase em uma liberação de acusação em uma regra universal para resposta a incidentes. Casos futuros podem apresentar diferentes deveres regulatórios, evidência, fatos de pesquisa de boa-fé ou circunstâncias de pagamento.

O teste de responsabilidade é se a verdade sobrevive à resposta

A violação original era prevenível de várias formas familiares: identidade de repositório mais forte, MFA obrigatório, nenhuma chave de nuvem de longa duração em texto simples no código-fonte, permissões de nuvem mais restritas, backups criptografados, detecção de segredos e melhor monitoramento. Esses controles merecem atenção. Eles não são a lição mais distintiva.

A lição distintiva é que a resposta a incidentes pode criar um segundo incidente. Uma equipe de segurança pode fechar o acesso enquanto a organização abre uma exposição legal e de governança maior. Um pagamento pode reduzir a alavancagem imediata do atacante enquanto aumenta a incerteza sobre evidência e notificação. Um acordo de confidencialidade pode apoiar uma investigação legítima enquanto se torna enganoso se nega aquisição conhecida. Uma regra de necessidade de conhecimento pode proteger fatos sensíveis enquanto exclui os advogados e executivos cujos deveres exigem esses fatos.

Um breve resumo executivo pode economizar tempo enquanto exclui a razão pela qual o executivo precisava vê-lo.

Todo incidente de alto impacto, portanto, precisa de um teste de preservação da verdade. A classificação corresponde à conduta conhecida? O contrato corresponde ao registro forense? O regulador recebe fatos que respondem à sua demanda? O conselho vê o escopo material e a incerteza? As pessoas afetadas recebem informação suficiente para se proteger? A organização pode posteriormente reconstruir quem decidiu, com base em que evidência e sob que autoridade?

A resposta de 2016 da Uber falhou nesse teste. As consequências não se limitaram a uma correção reputacional em 2017. A FTC expandiu uma ordem de 20 anos. Todos os 50 estados e o Distrito de Colúmbia obtiveram uma resolução de US$ 148 milhões e controles de governança. Autoridades estrangeiras aplicaram suas próprias leis a dados mantidos nos Estados Unidos. A Uber aceitou responsabilidade corporativa em um acordo federal de não persecução. Dois atacantes se declararam culpados. Um ex-diretor de segurança foi condenado, a condenação foi confirmada e a revisão da Suprema Corte foi negada.

O resultado não é uma demanda por divulgação instantânea e indiscriminada antes que os fatos sejam verificados. É uma demanda por trabalho paralelo. Conter rapidamente. Investigar cuidadosamente. Preservar evidências. Classificar de acordo com a conduta. Escalar para autoridade jurídica e executiva independente. Mapear deveres locais. Tratar pagamento como uma decisão de risco governada. Dizer às pessoas e reguladores o que a lei e a evidência exigem. Registrar incerteza honestamente.

Uma violação se torna um incidente de governança quando uma organização pode tecnicamente ver o que aconteceu, mas institucionalmente não pode dizê-lo. O objetivo de controle é garantir que, uma vez que os fatos são conhecidos, nenhum rótulo, canal de pagamento, linha de relato ou medo de constrangimento possa fazê-los desaparecer.