Voormalig Ubiquiti-werknemer die data stal en bedrijf afperste krijgt 6 jaar cel

Een 37-jarige Amerikaan heeft zes jaar celstraf gekregen voor het stelen van data van Ubiquiti en omdat hij het bedrijf afperste. De man zocht daarnaast contact op met media en deed zich voor als klokkenluider, waarbij hij de ernst van de hack groter deed voorkomen dan deze was.

Het vonnis valt lager uit dan de maximaal 35 jaar gevangenisstraf die hij had kunnen krijgen. De Amerikaan, Nickolas Sharp, werkte vanaf augustus 2018 bij Ubiquiti als senior ontwikkelaar en had daarbij toegang tot de AWS- en GitHub-diensten van het bedrijf. Eind 2020 misbruikte hij deze toegang om meerdere gigabytes aan vertrouwelijke informatie te stelen. Daarbij paste hij logbestanden en andere bestanden aan om zijn activiteiten te verhullen en te doen alsof collega's achter de actie zaten.

In januari 2021 perste hij het bedrijf af voor 50 bitcoin, destijds zo'n 1,9 miljoen dollar, en claimde hij het bedrijf te hebben gehackt. Toen Ubiquiti weigerde, publiceerde hij een deel van de gestolen data online. Eind maart 2021 was de FBI Sharp op het spoor en verrichtten ze huiszoekingen bij hem. Daarbij namen ze onder meer een laptop in beslag die Sharp had gebruikt om de bedrijfsdata te stelen.

Enkele dagen na de huiszoeking zocht Sharp contact op met verschillende media en deed hij zich voor als klokkenluider. Hij claimde hierbij dat Ubiquiti gehackt was en dat de aanvallers beheerdersrechten hadden op de AWS-servers. Sharp noemde de hack 'catastrofaal' en claimde dat het bedrijf de impact bewust verzweeg. Door de berichtgeving van media daalde de beurswaarde van Ubiquiti en verloor het bedrijf vier miljard dollar aan marktwaarde.

Sharp bekende in februari van dit jaar schuld. Na zijn celstraf blijft hij drie jaar onder toezicht staan. Daarnaast moet hij een restitutie van bijna 1,6 miljoen dollar betalen. Sharp werkte tot april 2021 bij Ubiquiti en werd eind 2021 gearresteerd.

Reacties (34)

[denios]

Ik ben benieuwd hoe ze hem op het spoor gekomen zijn, was dat enkel door de data upload te traceren?

[wildhagen]

In about December 2020, SHARP repeatedly misused his administrative access to download gigabytes of confidential data from his employer. For the majority of this cybersecurity incident (the “Incident”), SHARP used a virtual private network service that he subscribed to from a company named Surfshark to mask his Internet Protocol (“IP”) address when he accessed Company-1’s AWS and GitHub infrastructure without authorization. At one point during the exfiltration of Company-1 data, SHARP’s home IP address became unmasked following a temporary internet outage at SHARP’s home.

Zie dit persartikel van het Amerikaanse Ministerie van Justitie: https://www.justice.gov/u...ential-data-and-extorting

[Arcanekitten]

Zo te zien toch de Kill Switch aan moeten zetten

[Sfynx]

Is dat hetzelfde als enkel een route hebben naar het VPN endpoint in je routingtabel? De term klinkt me te reactief in de oren.

[denios]

Dank je wel voor deze info!👍

[gooos]

Chris van Crosstalk Solutions heeft er een mooie vlog van gemaakt: https://www.youtube.com/watch?v=paLm0tP5GbI

[denios]

Top gooos, bedankt!

[wildhagen]

Door de berichtgeving van media daalde de beurswaarde van Ubiquiti en verloor het bedrijf vier miljard dollar aan marktwaarde.

Dus het bedrijf lijdt 4 miljard dollar aan waardeverlies, en dan krijgt hij maar 6 jaar celstraf? Dat vind ik dan wel héél erg laag uitvallen, als je het afzet tegen zo'n enorme waardevermindering. Dan mag hij verrekt blij zijn dat hij er zo lichtjes vanaf komt.

En die 1.6 miljoen dollar die hij moet terugbetalen, is dat afkomstig van die 1.9 miljoen dollar die hij eiste? Want het lijkt alsof het bedrijf niet betaald heeft, toch? En indien wel, mag hij die overige 300.000 dollar dan 'gewoon' houden?

[dasiro]

Dus het bedrijf lijdt 4 miljard dollar aan waardeverlies

De aandeelhouders verloren virtueel geld, omdat hun aandelen minder waard waren. Nadat de koers van $153 in september 2020 tot een ongekende hoogte van $390 was gestegen in maart 2023 is die ondertussen serieus aan het fluctueren geweest en hangt ze op $178 na een half jaar van meer dan 38% verlies.

Moraal van het verhaal: op de beurs speculeren houdt altijd risico's in. Er zullen ook een hoop mensen serieus wat geld aan verdiend hebben, maar die ga je niet horen klagen.

[Frame164]

Niet iedereen speculeert op de beurs. Er zijn misschien wel meer mensen die gewoon beleggen dan speculeren. En als je bent ingestapt op 200 dollar dan heb je gewoon echt verlies, niet virtueels.

[dasiro]

je verliest pas geld als je beslist om uit te stappen onder de prijs dat je gekocht hebt, zoniet blijf je voor hetzelfde percentage aandeelhouder/eigenaar

[Verwijderd]

Dat klopt niet, met dezelfde redenatie zou een auto die je nieuw koopt nooit in waarde dalen tot het moment dat je de auto verkoopt.

[m_snel]

Mijn huis wordt ook ieder jaar meer waard volgens de woz. Toch blijf ik er gewoon in wonen.

[Jeroen]

Met het belangrijke verschil dat er een veel duidelijkere, eenzijdige verwachting is voor de waarde van een nieuwe auto, terwijl een bedrijf (vooral op korte termijn) even makkelijk in waarde kan stijgen en dalen op een onverwachte manier.

Stel je koopt een Audi van 40.000 euro en je komt er maandag mee op kantoor, dan zeg je toch ook tegen je collega's eerder 'ik rij een Audi van 40.000 euro' dan dat je zegt 'Ik rijd een Audi van 34.350 euro aangezien hij na de eerste kilometer al flink afgeschreven is'

[Reactie gewijzigd door Jeroen op 24 juli 2024 11:59]

[dasiro]

auto's zijn geen beleggingen. Een aandeel is maar zoveel waard als dat de hoogste bieder/laagste aanbieder overeen komen.

De effectieve waarde van eigendommen, banksaldo's tegoeden en leningen staat volledig los van de beurswaarde. Zo kan je met 2 miljard schuld een beurswaarde van 500 miljoen hebben.

[FONfanatic]

Je verliest ook als je investering waardeloos wordt.

[arjankoole]

Als iemand, dan wel UI, dan wel Aandelhouders hard kunnen maken dat de veroordeelde een significant effect had op de waarde op de beurs door zijn acties, kun je er best rekening mee houden dat er nog een civiele zaak bovenop komt voor schade vergoeding.

Maar of dat nut heeft tegen 1 enkele persoon? Bij een bedrijf met miljarden in kas kan dat nut hebben, maar dit figuur zal dat niet hebben, en dan een failliet aanvragen.

[5pë©ïàál_Tèkén]

Zie hier de beurskoers van Ubiquiti.
- Op 15 januari 2021 stond de koers op $247,29
- op 26 maart 2021 stond de koers op $389,88. Toen had de FBI heb in het vizier. (58% stijging t.o.v. 15 jan)
- op 9 april 2021 stond de koers op $281,78 (daling van 38% t.o.v. 26 maart)
op 4 juni stond de koers op $321,24 (stijging van 14% t.o.v. 9 april).
Vervolgens bleef het aandeel de rest van 2021 redelijk stabiel, om vanaf 14 januari 2022 onstabiel te worden. Tussen 1 mei 2023 en en 11 mei 2023 verloor Ubiquiti 35% ($236,65 naar $178,47).

In twee maanden tijd 50% koerswinst is zeer zeldzaam bij zulke grote bedrijven. Gezien de verdere ontwikkelingen van het aandeel durf ik te zeggen dat het probleem met Sharp een goede aanleiding was om wat lucht uit het aandeel te laten lopen. Daarna kwamen er rumoerige tijden.

https://en.wikipedia.org/wiki/Ubiquiti

In January 2021, a potential data breach of cloud accounts was reported, with customer credentials having potentially been exposed to an unauthorised third party.

In March 2022, Ubiquiti filed a lawsuit against security researcher Brian Krebs, alleging defamation for his reporting on their security issues. Both parties resolved their dispute outside the court in September 2022.

Er speelde wel meer bij Ubiquiti dan alleen een chantage spel. Dat de koers van het aandeel alle kanten op ging illustreert voor mij dan ook dat het daar in ieder geval nooit saai was Een rechter kan die 4 miljard onmogelijk toeschrijven aan Sharp. Ja hij zal er invloed op hebben gehad, maar dat maakt hem niet verantwoordelijk of aanspraakelijk.

[mphilipp]

En die 1.6 miljoen dollar die hij moet terugbetalen, is dat afkomstig van die 1.9 miljoen dollar die hij eiste? Want het lijkt alsof het bedrijf niet betaald heeft, toch? En indien wel, mag hij die overige 300.000 dollar dan 'gewoon' houden?

Ik denk niet dat ze betaald hebben. Zou inderdaad anders erg gek zijn als ie dat dan gewoon mocht houden. Ubiquity had juist geweigerd te betalen, waarop ie het allemaal nóg erger maakte voor zichzelf. Ze zullen wel een of andere rekenmethode hebben om de boete/schadevergoeding te berekenen. Ik heb geen idee hoeveel deze figuur verdiende, maar ik maak mij sterk dat ie ook een en ander aan juridiische kosten heeft (duh!) en dat ze inmiddels door beslaglegging al eea hebben afgepakt. De man is nu denk ik wel redelijk bankroet.

[kftnl]

In Nederland moet je haast een moord plegen om 6 jaar celstraf te krijgen. Dat zijn echt levensverwoestende straffen. Het bedrag waar het om gaat is toch vooral de 1.9mln waarvoor hij het bedrijf afperste. Een erg dom misdrijf maar het blijft toch wel een trieste gebeurtenis als je iemand 6 jaar de cel in moet gooien. Had hij eerder over moeten nadenken maar ik denk niet dat zo iemand nog langer in de cel veel nut heeft.

[Maurits van Baerle]

De tijden dat je in Nederland 12 jaar kreeg voor moord liggen toch wel een tijdje achter ons. Tegenwoordig moet je rekenen op tussen de 14 en 18 jaar met flinke uitschieters naar boven tot en met levenslang (met de mogelijkheid tot het indienen van een gratieverzoek na 25 jaar, dat eigenlijk nooit wordt toegewezen).

Er zitten op dit moment richting de vijftig mensen levenslang vast, waarvan een hoop waarschijnlijk van ouderdom zullen overlijden in de cel.

[arjankoole]

Precies. De meeste mensen in Nederland hebben niet door dat Nederland zwaar straft. Veel zwaarder dan de landen om ons heen.

Was een aantal jaar geleden een heel interessant onderzoek over zelfs. Toen deden ze ook een test moet hoe de Nederlander zelf zou straffen, waarbij een deel niet alle informatie kreeg die de rechter had (die straften zwaarder dan de rechter), en een deel die alle informatie had die de rechter ook had. (Die straften lichter dan de rechter!).

[mjtdevries]

Daarbij moet je dan wel bedenken dat in de VS de meeste mensen na 1/3 van de straf vrij komen, terwijl in Nederland mensen meestal 2/3 van de straf uit moeten zitten.

Daardoor is de daadwerkelijk periode dat mensen in de cel ziten redelijk gelijk tussen Nederland en de VS.

[Frame164]

In Nederland moet je sinds een aantal jaren gewoon 100% van je straf uitzitten. Alleen onder hele speciale omstandigheden kan dit minder worden.

[khamikaze99]

Nederland kent die 2/3 regeling inmiddels niet meer. Ik geloof dat je maximaal 2 jaar in mindering kunt krijgen. Kon je vroeger bij een straf van 18 jaar na 12 vrijkomen zul je er tegenwoordig minstens 16 uit moeten zitten.

[theobril]

Je doet waarschijnlijk het een en ander beter dan ik, want ik kom per jaar niet met 1,9/4 =390000 dollar thuis. Als in: hij had ook kunnen slagen, niet gepakt worden. En als men het winbedrag afzet tegen de straf bij gepakt worden, dan ziet het er toch niet heel verkeerd uit. Verder "had hij eerder over na moeten denken"? hij heeft bijzonder veel tijd gehad om na te denken, hij heeft best wat dingen uitgehaald, het is niet alsof hij impulsief een rolletje drop jatte.

[Reactie gewijzigd door theobril op 24 juli 2024 11:59]

[jarco5000]

Ik vraag me bij zo een bericht altijd af hoeveel mensen dit wel met succes gedaan hebben. Je kan het nooit weten, maar het kan volgens mij niet dat ze echt allemaal gevonden worden.

[DennisZ88]

Wauw. Dit geeft zo'n raar gevoel. Paar jaartjes cel + 1,6 miljoen dollar is veel natuurlijk. Maar een bedrijf wat miljarden verliest door deze actie.. Wat Jarco5000 inderdaad ook zegt, hoeveel mensen doen dit en hoeveel bedrijven gaan er wel op in (wat ergens nog logisch is ook als je deze situatie denkt)

[Reactie gewijzigd door DennisZ88 op 24 juli 2024 11:59]

[DrPoncho]

Zoals @dasiro goed uitlegt, ze zijn niet echt miljarden verloren.

[Verwijderd]

Jawel en maarliefst 4

[arjankoole]

Zoals @dasiro goed uitlegt, ze zijn niet echt miljarden verloren.

Ja en nee. Het is virtuele waarde, maar je moet het ook niet onderschatten. Beurswaarde boeit wel degelijk in die kringen. Maar, er rommelde wel meer bij UI, en derhalve zal het extreem moeilijk de volle 4 miljard hieraan te hangen. Misschien gaan aandeelhouders het proberen, maar ik verwacht het eigenlijk niet.

Als het kwam door verwijtbaar gedrag van UI zelf, zou ik die kans groter achten.

[HKLM_]

Die hacker (waar ubnt) toen nog niet van wist wie het was is ook lid geweest van het team wat de hack heeft onderzocht binnen Ubiquiti.

https://www.bitdefender.c...gned-to-investigate-hack/

Klinkt een beetje als een brandweerman die brand stichtte en zelf gaat blussen

[Reactie gewijzigd door HKLM_ op 24 juli 2024 11:59]

[arjankoole]

Daarom zegt men wel eens: de grootste security vector is van binnenuit.

Deze snuiter was “goed”, maar iemand anders was beter. (En een klein beetje geluk, maar dat is vaak bij dit soort dingen)

[Vaevictis_]

Daarom moet je dus ook heel goed screenen bij inhuren of aannemen personeel. Daarnaast ook heel goed je security en security processen op orde hebben. Dat lijkt hier ook niet goed te zijn gegaan als je grote hoeveelheden data kunt wegsluizen en logfiles aanpassen en anderen de schuld geven. Seperation of duties en immutable files. Valt me wel tegen van zon bedrijf in deze business.