Les noms des utilisateurs ainsi que leurs adresses électroniques et numéros de téléphone mobile ont été subtilisés, a indiqué Dara Khosrowshahi, dans un communiqué. Les noms et numéros de permis de conduire des chauffeurs Uber ont en outre été piratés.
Sur la base d'expertises externes, le patron de l'entreprise de VTC a affirmé que l'historique des trajets, les numéros de cartes et de comptes bancaires, les numéros de sécurité sociale et les dates de naissance des utilisateurs n'auraient en revanche pas été piratés.
M. Khosrowshahi, qui a été nommé à la tête d'Uber fin août, a souligné qu'il a été informé "récemment" de cet incident. "Rien de cela n'aurait dû arriver, et je ne trouverai aucune excuse", a-t-il ajouté.
Deux individus ne faisant pas partie de l'entreprise seraient responsables de ce piratage, a-t-il annoncé. Ils ont pénétré dans un "cloud" (serveur dématérialisé) utilisé par l'entreprise et ont téléchargé ces informations.
Deux membres des services de sécurité d'Uber, "chargés de la gestion" du problème, et qui n'ont pas prévenu les utilisateurs que leurs données avaient été piratées, ne font par ailleurs "plus partie de l'entreprise". "L'incident n'a pas atteint les systèmes de l'entreprise ni son infrastructure", a tenu à préciser M. Khosrowshahi.
Uber aurait versé 100.000 dollars aux hackers afin qu'ils ne divulguent pas l'existence de cet incident et détruisent les informations collectées, selon une source proche du dossier.
"Au moment de l'incident, nous avons immédiatement pris les mesures pour sécuriser les données et mettre fin à l'accès non autorisé des individus. Nous avons identifié ces individus et obtenu des assurances que les données collectées seraient détruites", a expliqué M. Khosrowshahi.
"Nous avons également mis en place des mesures de sécurité pour restreindre l'accès et renforcer les contrôles des comptes de notre base de données", a-t-il ajouté.
"Bien que nous n'ayons aucune preuve de fraude ou d'utilisation frauduleuse liées à cet incident, nous surveillons les comptes affectés et nous avons renforcé leur protection contre la fraude", a-t-il encore détaillé.
M. Khosrowshahi a souligné qu'il s'était interrogé sur le fait que l'information n'ait été relayée qu'un an après les faits. Il estime en outre que l'entreprise a failli en n'informant pas immédiatement les victimes de ce piratage ainsi que les autorités. L'ancien patron controversé, Travis Kalanick, aurait été averti du piratage, selon une source proche du dossier.
Les premières critiques reprochent justement à l'entreprise de VTC son manque de transparence. "Toutes les entreprises feraient mieux de se souvenir de cela: faire une bourde, c'est mal, mais essayer de la cacher peut vous tuer", a écrit un expert en sécurité, Graham Cluley, sur un blog spécialisé. "Vous pouvez demander pardon de vous être fait pirater, mais beaucoup de personnes vont avoir du mal à vous pardonner et à oublier si vous leur avez volontairement caché la vérité".
"Les révélations autour des piratages mettent trop de temps" à être faites, a regretté Vincent Weafer le vice-président de McAfee Labs.
Ce piratage est le dernier d'une longue série aux Etats-Unis. Début septembre, c'est l'entreprise Equifax, qui récolte et analyse les données personnelles de clients qui sollicitent un crédit, qui avait révélé une intrusion de mi-mai à fin juillet dans ses bases de données.
Les informations personnelles (noms, numéros de sécurité sociale, dates de naissance...) de plus de 145 millions de clients américains et d'autres au Canada et en Grande-Bretagne avaient alors été dérobés.
Equifax s'était vu reprocher le long délai entre le piratage et sa révélation au grand public. Les mêmes critiques avaient été adressées à Yahoo, qui avait été victime d'une cyberattaque en 2013.
Début octobre, le Wall Street Journal avait révélé que des pirates informatiques avaient également volé des documents secrets des services du renseignement américain.
Le piratage se serait fait par le biais d'un logiciel Microsoft Office infecté, selon la société russe de sécurité Kaspersky Lab, dont le logiciel avait été accusé. Le vol aurait eu lieu entre septembre et novembre 2016.
