Uber confirma robo de licencias de miles de conductores

La plataforma de transporte Uber ha iniciado la comunicación con miles de sus conductores para informarles que sus datos personales y la información de sus licencias de conducir fueron sustraídos durante un incidente de seguridad ocurrido en octubre. La vulnerabilidad se originó en uno de los proveedores tecnológicos externos de la compañía, según detallaron las notificaciones presentadas esta semana ante varios fiscales generales de Estados Unidos, incluido el de California.

El gigante del transporte por aplicación explicó que fue alertado el 9 de octubre por dicho proveedor sobre una intrusión informática. Los atacantes robaron credenciales internas que posteriormente utilizaron para acceder a la base de datos de Uber. Tras confirmar el acceso no autorizado, la empresa comenzó a contactar a los usuarios afectados cuyos registros estaban almacenados en la infraestructura del tercero implicado.

Identificación del proveedor afectado

TechCrunch identificó al proveedor involucrado como Fireworks AI, una plataforma que permite a los desarrolladores acceder y utilizar modelos de inteligencia artificial abiertos. Esta firma reportó previamente una violación de datos el mes pasado, donde los ciberdelincuentes extrajeron información de sus clientes, incluyendo datos de facturación y ciertos conjuntos privados de IA. Notion, una startup de productividad online, también confirmó que sus datos fueron robados en el mismo ataque contra Fireworks.

Un portavoz de Uber declaró a TechCrunch que las notificaciones a los conductores responden a este incidente de seguridad que afecta a su socio externo, quien tenía acceso a parte de la información de la plataforma. La compañía declinó responder preguntas adicionales, remitiendo las consultas directamente a Fireworks. Por su parte, un representante de Fireworks AI no respondió a los requerimientos de información sobre lo sucedido.

Cifras de afectados por estado

Las cifras exactas de clientes impactados no fueron divulgadas por Uber, ni tampoco el número total de conductores que recibirán avisos. Sin embargo, los documentos de notificación revisados por TechCrunch revelan detalles específicos por jurisdicción. En Massachusetts, se robaron las licencias de conducir de 2.567 personas. En Carolina del Sur, la cifra asciende a 3.430 individuos, mientras que en Rhode Island resultaron afectados 1.873 residentes.

Una presentación realizada en Illinois indicó que algunos residentes del estado sufrieron el robo de información de sus licencias, aunque el conteo final de víctimas permanecía pendiente al momento del informe. Uber también notificó a conductores residentes en California, sin especificar cuántos vieron comprometidos sus datos. Se espera que el número total de afectados aumente conforme lleguen más notificaciones de violaciones de datos desde otras regiones.

Motivación criminal y antecedentes

Fireworks atribuyó la brecha de seguridad a un grupo de cibercriminales motivados económicamente. El objetivo principal de estos actores es vender los tokens robados, que sirven para acceder a grandes modelos de lenguaje (LLM). Hasta la fecha, ningún grupo conocido de ciberdelincuentes ha reivindicado públicamente la autoría del robo de información.

Este evento representa la segunda violación de datos conocida que enfrenta Uber en el presente año. Anteriormente, la empresa reportó un incidente de seguridad en su unidad de transporte de carga, Uber Freight. En aquel caso, una banda dedicada a la extorsión asumió la responsabilidad por el robo de datos.