Apple: колишній співробітник скористався шпариною для крадіжки даних після звільнення

Apple оприлюднила сенсаційну новину про позов проти OpenAI за ймовірну крадіжку комерційної таємниці , стверджуючи, що OpenAI вкрала конфіденційні дані Apple та намагалася отримати конфіденційну інформацію під час вербування колишніх співробітників Apple.

Звинувативши OpenAI у крадіжці секретів щодо невипущених продуктів Apple, Apple повідомила, що колишній співробітник нібито викрав купу конфіденційних файлів зі спільних мережевих папок компанії через кілька тижнів після того, як залишив Apple заради роботи в OpenAI.

У своїй скарзі Apple стверджує, що колишній співробітник, системний інженер-електрик на ім'я Чан Лю, нібито «використовував рідкісну, раніше невідому помилку автентифікації», яка дозволяла доступ до мережі компанії. Помилка класифікується як вразливість нульового дня , тобто Apple не мала часу виправити її до того, як її нібито використали.

Відтоді Apple виправила помилку та заявила, що припинила доступ співробітника, як тільки дізналася про це «порушення безпеки». У своїй скарзі Apple заявила, що помилка могла дозволити «кільком іншим» людям отримати доступ до даних у її мережі, але стверджувала, що лише Лю скористався помилкою для крадіжки конфіденційної інформації Apple, вже не будучи співробітником, посилаючись на перевірку журналів сервера. 

Розкриття інформації, хоча й не є детальним, підкреслює проблеми, з якими стикаються організації щодо захисту конфіденційних корпоративних даних після того, як співробітники більше не працюють. Компанії часто вживають заходів для негайного блокування подальшого доступу до конфіденційної інформації для співробітників, що звільняються, щоб захистити будь-яку конфіденційну інформацію від зникнення, зокрема ненавмисного. Компанії, які не повністю виводять з експлуатації облікові записи своїх співробітників, можуть зіткнутися з провалами в безпеці, витоками даних або зловмисними діями з боку незадоволених співробітників у майбутньому .

Речники Apple не відповіли на електронний лист від TechCrunch із запитаннями щодо вразливості безпеки, способів її використання та часу, коли компанія вивела з експлуатації облікові дані співробітника.

«ЛОЛ… так смішно».

У скарзі Apple стверджувала, що Лю протягом кількох тижнів, будучи новим співробітником OpenAI, викрав «десятки конфіденційних файлів Apple, пов’язаних з обладнанням». 

Apple заявила, що файли містять «детальну інформацію про невипущені продукти, інженерні презентації, технічні характеристики та власні дані про проекти». 

Компанія стверджує, що Лю не повернув робочий ноутбук, виданий Apple, який він раніше використовував для доступу до мережі Apple, що свідчить про те, що колись він міг надсилати та отримувати файли з внутрішніх систем Apple. У скарзі йдеться, що Лю нібито стверджував, що має «інший комп’ютер». Працюючи в OpenAI, Лю також нібито зловживав доступом знайомої, Юй-Тін Пен, тодішньої співробітниці Apple, яка пізніше перейшла на роботу в OpenAI. Лю нібито використовував робочий ноутбук Пен, виданий Apple, «поки вона ще працювала в Apple, а він — ні».

Apple заявила, що протягом лютого 2026 року Лю «намагався отримати доступ до мережевого сховища Apple — хмарного сховища файлів, що містить конфіденційні інженерні файли Apple, проектну документацію та іншу конфіденційну інформацію».

Лю нібито виявив, що він «все ще може отримати доступ до мережевого репозиторію Apple після того, як залишив Apple, в результаті тоді ще невідомої вразливості автентифікації».

Apple не описала «помилку» автентифікації, яку Лю нібито використовував для доступу до мережі Apple. Однак, помилки автентифікації зазвичай стосуються недоліків у процесі входу, які дозволяють неналежний доступ до систем або даних, або через слабкість у роботі механізму входу, або через неправильну конфігурацію, таку як надмірно широкі дозволи або невиведення з експлуатації облікових даних колишнього співробітника. 

У своїй скарзі Apple написала, що коли Лю дізнався про несанкціонований доступ до систем Apple, він не повідомив про помилку Apple згідно зі своїми зобов'язаннями за трудовим договором, а також не повернув свій робочий ноутбук, виданий Apple. 

У скарзі додається, що Лю також не «видалив програму, яка дозволяла доступ» до мережі Apple. Компанія не повідомила, яку саме програму чи додаток Лю нібито використовував для доступу до систем Apple. Нерідко співробітники мають інструменти, такі як схвалений на роботі VPN або додаток для віддаленого перегляду, які дозволяють їм отримувати доступ до конфіденційних даних з-за меж офісів компанії, використовуючи свої облікові дані.

Оскільки Лю раніше як співробітнику отримував доступ до мережі Apple, TechCrunch запитав Apple, коли компанія припинила доступ Лю, але ми не отримали відповіді.

Як тільки Лю нібито отримав доступ до мережевого сховища, він написав Пену: «ЛОЛ, я дізнався, що можу отримати доступ до [мережевої пам’яті], так смішно».

Apple подала позов до Окружного суду США Північного округу Каліфорнії в Сан-Хосе та вимагала суду присяжних. OpenAI раніше заявляла, що «не зацікавлена ​​в комерційних таємницях інших компаній».