Hackers robaron datos de permisos de conducir de miles de conductores de Uber en Estados Unidos tras vulnerar Fireworks AI, un proveedor tecnológico de la plataforma. Uber está notificando a las personas afectadas; los avisos presentados en varios estados identifican ya a miles de residentes, aunque la compañía no ha divulgado un total.
Credenciales de Fireworks abrieron el acceso a datos de Uber
Según los avisos enviados a las autoridades estatales y revisados por TechCrunch, Fireworks informó a Uber el 9 de octubre de que atacantes habían accedido a sus sistemas y sustraído credenciales internas. Esas credenciales se utilizaron después para entrar en datos de Uber que estaban almacenados con el proveedor. La empresa de transporte empezó a avisar a los conductores afectados.
Uber describió el caso como un incidente de seguridad que afectó a uno de sus proveedores externos, Fireworks.ai, con acceso a parte de sus datos. La compañía no precisó cuántos conductores está notificando ni cuántas personas resultaron afectadas en total. La cifra podría aumentar a medida que se presenten más avisos de brecha.
“prevent further unauthorized access to Uber data.”
— Uber, en el aviso citado por The Hill
The Hill informó que Uber cortó de inmediato las conexiones de datos con el proveedor para impedir nuevos accesos no autorizados. En el aviso de la compañía, fechado el 10 de noviembre, Uber también dijo que, hasta ese momento, no había identificado ningún uso indebido de los datos.
Los avisos estatales ya suman miles de conductores
Los documentos revisados por TechCrunch atribuyen el robo de información de permisos de conducir a 2.567 personas en Massachusetts, 3.430 en Carolina del Sur y 1.873 residentes de Rhode Island. Un aviso de Illinois confirma que hubo residentes afectados, pero deja pendiente el número. Uber también notificó a conductores de California, sin hacer pública la cantidad.
Las cantidades estatales conocidas representan notificaciones presentadas hasta ahora, no un recuento nacional definitivo. TechCrunch señala que se espera que el total crezca conforme se publiquen nuevos avisos. Uber no ha comunicado un balance general ni ha indicado cuántas personas recibieron ya una notificación directa.
Hay además una diferencia en cómo se describe la información robada: TechCrunch habla de datos de permisos de conducir, mientras que The Hill atribuye a ese medio una referencia a números de matrícula. La notificación de Uber, según el relato de TechCrunch, incluye permisos de conducir; no se ofrece una aclaración adicional sobre esa discrepancia.
Fireworks AI también sufrió el robo de datos de clientes
Fireworks AI es una plataforma que permite a desarrolladores acceder y utilizar modelos abiertos de inteligencia artificial. The Hill indica que, según el sitio web de la empresa, la usan más de 10.000 compañías en todo el mundo y que entre sus clientes figuran Zillow, Samsung y Notion, además de Uber.
El incidente de Fireworks se conoció el mes anterior. La empresa comunicó entonces que los atacantes habían robado información de clientes, incluidos datos de facturación y algunos conjuntos de datos privados de IA. Notion, una aplicación de productividad, confirmó que también le sustrajeron datos en el ataque.
Un portavoz de Fireworks confirmó a TechCrunch que la compañía había detectado un problema de seguridad relacionado con accesos no autorizados a algunos de sus sistemas y que los datos de clientes se vieron afectados. No respondió a las preguntas específicas del medio sobre el incidente. Uber remitió las consultas sobre el proveedor a Fireworks.
Las fechas de los avisos no coinciden
Los avisos descritos por TechCrunch sitúan el momento en que Fireworks alertó a Uber el 9 de octubre. The Hill, en cambio, señala que la oficina del fiscal general de California recibió la notificación de la brecha el 7 de octubre, dos días antes de la fecha en que Uber dijo haber sido informada por el proveedor. La diferencia aparece en los registros citados por ambos medios y no se explica en sus publicaciones.
El aviso de Uber citado por The Hill está fechado el 10 de noviembre. Según ese medio, la compañía ofrece a las personas afectadas acceso gratuito a servicios de vigilancia crediticia y asistencia contra el fraude.
Segundo incidente conocido de Uber en el año
La brecha vinculada a Fireworks es el segundo incidente de datos conocido de Uber este año, según TechCrunch. En otro caso, Uber informó de un problema de seguridad en Uber Freight, su unidad de transporte de mercancías por carretera. Un grupo de extorsión se atribuyó el robo de datos en ese incidente.
En el caso actual, Fireworks atribuyó la intrusión a un grupo de ciberdelincuentes motivado económicamente, cuyo objetivo sería vender tokens robados para acceder a grandes modelos de lenguaje. Ningún grupo conocido se ha atribuido públicamente el robo de los datos de Uber.
Por ahora, Uber no ha publicado el número total de conductores afectados. Se espera que el total aumente a medida que lleguen más notificaciones; las cifras de Illinois y California siguen incompletas.
Fuentes: OMG! Ubuntu, TechCrunch, The Hill via AOL
