Uber confirma roubo de dados de milhares de motoristas
O ataque ocorreu na Fireworks AI, um fornecedor tecnológico com acesso a dados da Uber. A empresa está a notificar os motoristas afetados, mas não revelou a dimensão total da fuga de informação.
O que se passou
A Uber está a informar milhares de motoristas de que os seus dados pessoais, incluindo informações das cartas de condução, foram roubados num ataque informático ocorrido em outubro na Fireworks AI. O fornecedor permite a programadores aceder e utilizar modelos abertos de inteligência artificial.
Nas notificações entregues esta semana às autoridades de vários estados norte-americanos, a Uber indica que foi alertada pelo fornecedor em 9 de outubro. Os atacantes roubaram credenciais internas e usaram-nas para aceder aos dados da empresa. Um porta-voz da Uber confirmou à TechCrunch que o incidente envolveu a Fireworks AI.
Os documentos consultados pela TechCrunch identificam dados de cartas de condução roubados a 2.567 pessoas no Massachusetts, 3.430 na Carolina do Sul e 1.873 em Rhode Island. Também houve pessoas afetadas no Illinois e na Califórnia, mas sem um número divulgado. A Uber não revelou o total de motoristas abrangidos.
A Fireworks AI já tinha comunicado que o ataque expôs informações de clientes, incluindo dados de faturação e alguns conjuntos privados de dados de IA. A Notion também confirmou o roubo dos seus dados neste incidente. A Fireworks atribuiu o ataque a um grupo criminoso com motivação financeira que procura vender credenciais de acesso a grandes modelos de linguagem.
O que isto significa
O incidente mostra que a proteção dos dados da Uber também depende dos fornecedores a quem concede acesso. Neste caso, as credenciais roubadas no prestador tecnológico permitiram chegar a informação dos motoristas, sem que a origem do ataque tenha sido identificada nos sistemas da própria Uber.
A dimensão total da exposição continua por apurar. Os números divulgados dizem respeito apenas a alguns estados norte-americanos e não permitem avaliar todo o alcance do incidente. Não foi divulgado um impacto financeiro que permita quantificar as consequências para a empresa.
Este é o segundo incidente de segurança conhecido da Uber este ano. A empresa já tinha comunicado um caso na Uber Freight, a sua unidade de transporte rodoviário de mercadorias, cujo roubo de dados foi reivindicado por um grupo de extorsão. Para avaliares o risco, interessa distinguir os dois episódios, mas também acompanhar a capacidade da Uber para proteger informação que circula entre diferentes unidades e fornecedores.
Porque deves querer saber
As notificações ainda não mostram toda a dimensão
A Uber já está a contactar os motoristas afetados, mas os dados públicos continuam fragmentados por estado. No Illinois, o número de pessoas abrangidas ainda estava por determinar, enquanto na Califórnia não foi divulgado.
Esta informação em falta limita a avaliação das consequências para a empresa. Os números conhecidos confirmam uma exposição de milhares de pessoas, mas não permitem fechar a dimensão do incidente nem estimar o seu custo.
Os fornecedores de IA também guardam dados sensíveis
A Fireworks AI fornece acesso a modelos de inteligência artificial, mas o ataque atingiu informação que vai além desses modelos. Foram expostos dados de faturação e conjuntos privados de dados de clientes, além da informação dos motoristas da Uber.
A confirmação da Notion mostra que o incidente não ficou limitado a um único cliente. O caso evidencia a importância de os investidores em empresas que recorrem a estes serviços perceberem que dados são partilhados com fornecedores e que acessos lhes são concedidos.
