Gli hacker hanno rubato i dati delle patenti di guida di migliaia di conducenti Uber negli Stati Uniti dopo aver violato Fireworks AI, un fornitore tecnologico della piattaforma. Uber sta avvisando le persone interessate; le notifiche presentate in diversi Stati identificano già migliaia di residenti, anche se la società non ha divulgato un totale.
Le credenziali di Fireworks hanno consentito l’accesso ai dati di Uber
Secondo le notifiche inviate alle autorità statali e visionate da TechCrunch, Fireworks ha informato Uber il 9 ottobre che alcuni aggressori avevano avuto accesso ai suoi sistemi e sottratto credenziali interne. In seguito, quelle credenziali sono state utilizzate per accedere ai dati di Uber conservati presso il fornitore. La società di trasporti ha iniziato ad avvisare i conducenti interessati.
Uber ha descritto il caso come un incidente di sicurezza che ha coinvolto uno dei suoi fornitori esterni, Fireworks.ai, che aveva accesso a una parte dei suoi dati. La società non ha precisato quanti conducenti stia avvisando né quante persone siano state interessate in totale. La cifra potrebbe aumentare con la presentazione di ulteriori notifiche di violazione.
“prevent further unauthorized access to Uber data.”
— Uber, nella notifica citata da The Hill
The Hill ha riferito che Uber ha interrotto immediatamente i collegamenti per lo scambio dei dati con il fornitore, per impedire ulteriori accessi non autorizzati. Nella notifica della società, datata 10 novembre, Uber ha inoltre affermato che fino a quel momento non aveva individuato alcun uso improprio dei dati.
Le notifiche statali riguardano già migliaia di conducenti
I documenti visionati da TechCrunch attribuiscono il furto di informazioni sulle patenti di guida a 2.567 persone in Massachusetts, 3.430 in Carolina del Sud e 1.873 residenti del Rhode Island. Una notifica dell’Illinois conferma che alcuni residenti sono stati interessati, ma il numero deve ancora essere definito. Uber ha avvisato anche i conducenti della California, senza rendere pubblica la cifra.
Le cifre statali note rappresentano le notifiche presentate finora, non un conteggio nazionale definitivo. TechCrunch segnala che il totale dovrebbe crescere con la pubblicazione di nuove notifiche. Uber non ha comunicato un bilancio complessivo né indicato quante persone abbiano già ricevuto una notifica diretta.
Esiste inoltre una differenza nel modo in cui vengono descritte le informazioni rubate: TechCrunch parla di dati delle patenti di guida, mentre The Hill attribuisce a quella testata un riferimento ai numeri di targa. Secondo quanto riportato da TechCrunch, la notifica di Uber menziona le patenti di guida; non viene fornito alcun chiarimento ulteriore su questa discrepanza.
Anche Fireworks AI ha subito il furto di dati dei clienti
Fireworks AI è una piattaforma che consente agli sviluppatori di accedere ai modelli di intelligenza artificiale aperti e di utilizzarli. The Hill afferma che, secondo il sito web dell’azienda, la piattaforma è utilizzata da oltre 10.000 aziende in tutto il mondo e che tra i suoi clienti figurano Zillow, Samsung e Notion, oltre a Uber.
L’incidente di Fireworks è stato reso noto il mese precedente. L’azienda aveva comunicato che gli aggressori avevano rubato informazioni dei clienti, compresi dati di fatturazione e alcuni set di dati privati di IA. Notion, un’applicazione per la produttività, ha confermato che anche i suoi dati erano stati sottratti nell’attacco.
Un portavoce di Fireworks ha confermato a TechCrunch che l’azienda aveva rilevato un problema di sicurezza legato ad accessi non autorizzati ad alcuni dei suoi sistemi e che i dati dei clienti erano stati interessati. Non ha risposto alle domande specifiche della testata sull’incidente. Uber ha rinviato a Fireworks le richieste di informazioni sul fornitore.
Le date delle notifiche non coincidono
Le notifiche descritte da TechCrunch indicano che Fireworks ha avvisato Uber il 9 ottobre. The Hill, invece, riferisce che l’ufficio del procuratore generale della California ha ricevuto la notifica della violazione il 7 ottobre, due giorni prima della data in cui Uber ha dichiarato di essere stata informata dal fornitore. La discrepanza emerge dai registri citati da entrambe le testate e non viene spiegata nei rispettivi articoli.
La notifica di Uber citata da The Hill è datata 10 novembre. Secondo la testata, la società offre alle persone interessate l’accesso gratuito a servizi di monitoraggio del credito e assistenza contro le frodi.
Secondo incidente noto di Uber nell’anno
Secondo TechCrunch, la violazione collegata a Fireworks è il secondo incidente relativo ai dati di Uber noto quest’anno. In un altro caso, Uber ha segnalato un problema di sicurezza in Uber Freight, la sua divisione per il trasporto merci su strada. Un gruppo di estorsori ha rivendicato il furto di dati in quell’incidente.
Nel caso attuale, Fireworks ha attribuito l’intrusione a un gruppo di criminali informatici motivati da ragioni economiche, il cui obiettivo sarebbe vendere token rubati per accedere a modelli linguistici di grandi dimensioni. Nessun gruppo noto ha rivendicato pubblicamente il furto dei dati di Uber.
Per ora, Uber non ha pubblicato il numero totale dei conducenti interessati. Si prevede che il totale aumenti con l’arrivo di ulteriori notifiche; le cifre dell’Illinois e della California restano incomplete.
Fonti: OMG! Ubuntu, TechCrunch, The Hill via AOL
