Uber confirme le vol de données de conducteurs via Fireworks AI

Le géant du transport Uber avertit actuellement plusieurs milliers de ses partenaires conducteurs. Leurs informations personnelles et les détails de leur permis de conduire ont été dérobés lors d'une violation de données survenue en octobre au sein d'un fournisseur technologique externe.

Dans les notifications déposées cette semaine auprès de divers procureurs généraux américains, dont celui de la Californie, l'entreprise précise avoir été alertée le 9 octobre par ce prestataire. Des pirates informatiques avaient alors pénétré le système pour s'emparer d'identifiants internes, permettant ensuite un accès aux données hébergées chez Uber.

Fireworks AI identifié comme source de la fuite

Il ressort que le fournisseur concerné est Fireworks AI, une plateforme permettant aux développeurs d'accéder à des modèles d'intelligence artificielle ouverts. Cette société avait déjà signalé une brèche le mois précédent, durant laquelle les informations de ses clients, y compris des données de facturation et des jeux de données privés, avaient été exfiltrées.

La startup Notion a également confirmé que ses propres données figuraient parmi celles volées lors de cet incident touchant Fireworks. Un porte-parole d'Uber a indiqué à TechCrunch que les avis envoyés aux conducteurs faisaient suite à cet incident de sécurité impliquant le tiers Fireworks.ai, qui disposait d'un accès à certaines données de la plateforme de VTC.

Uber n'a pas communiqué le nombre total de clients impactés ni le volume exact de conducteurs notifiés. Les représentants de Fireworks n'ont pas répondu aux sollicitations concernant cet événement. Selon les documents consultés, les données compromises incluent les permis de conduire de 2 567 personnes dans le Massachusetts, 3 430 en Caroline du Sud et 1 873 résidents du Rhode Island.

Chiffres partiels et contexte sécuritaire

Un dépôt effectué dans l'Illinois mentionne que des résidents de cet État ont vu leurs informations de permis voler, mais le nombre précis reste à confirmer. La Californie a également reçu des notifications, sans que le chiffre des victimes locales ne soit divulgué. Ce bilan devrait s'alourdir à mesure que d'autres avis de violation seront publiés.

Fireworks attribue cette attaque à un groupe cybercriminel motivé par des gains financiers, dont l'objectif est la revente de jetons d'accès aux grands modèles de langage (LLM). À ce jour, aucun collectif connu n'a revendiqué la responsabilité de ce vol de données.

Cet épisode constitue la seconde violation de données avérée subie par Uber cette année. L'entreprise avait précédemment rapporté un incident de sécurité affectant sa division de fret routier, Uber Freight, où un gang d'extorqueurs avait reconnu avoir subtilisé des informations.