¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
Miles de licencias de Uber robadas. La empresa avisa por correo postal a miles de conductores: su información personal, con el número de su licencia incluido, quedó en manos de los atacantes que entraron en octubre a Fireworks AI.
Los avisos de esta semana ante fiscalías estatales permiten contar parte del daño: 2.567 conductores en Massachusetts, 3.430 en Carolina del Sur, unos 1.873 en Rhode Island y 1.071 en Vermont tienen su número de licencia entre los datos robados.
En Illinois, Uber confirmó residentes afectados, cifra pendiente; en California avisó a conductores sin publicar cuántos. Sumados, los estados con número pasan de 8.900 personas, y la empresa no ha dado un total cerrado: la cuenta subirá conforme lleguen más avisos estatales.
La carta a los conductores, fechada el 10 de noviembre, cuenta la cadena con fechas. El 9 de octubre, un proveedor de servicios avisó a Uber de que un tercero había comprometido sus credenciales internas y las había usado para entrar a la cuenta de Uber con ese proveedor.
Uber cortó de inmediato sus conexiones de datos con el proveedor y abrió una investigación. El 13 de octubre confirmó que las credenciales sirvieron para acceder a datos de Uber, con la información personal de los conductores entre lo alcanzado.
El ataque a Fireworks empezó por sus credenciales
El origen está en la brecha de Fireworks AI. La empresa detectó el 6 de octubre un uso no autorizado de credenciales internas: un tercero alcanzó variables de entorno usadas en trabajos de evaluación en un número limitado de cuentas de clientes, y cree que claves de API y tokens guardados como secretos quedaron capturados.
La contención empezó el mismo día: revocación de credenciales y claves, rotación de tokens y aviso directo a los clientes identificados. El boletín público llegó el 9 de octubre y en ese primer aviso Fireworks sostuvo que no había detectado acceso a modelos, conjuntos de datos ni información personal.
Fireworks actualizó el boletín el 9 de noviembre y el retrato cambió: contó que descubrió impacto en datos de cuentas y de facturación —direcciones, historial de facturas y pagos, saldos y uso de crédito— y, para un conjunto limitado de cuentas, en secretos, conjuntos de datos y modelos incompletos. Las tarjetas de pago no entraron: la empresa no guarda esos números.
El alcance creció por una segunda puerta. Un proveedor de nube de las máquinas de investigación y desarrollo de Fireworks sufrió su propio incidente el 23 de octubre; al día siguiente, el intruso lo usó para llegar a las máquinas de desarrollo y ejecutar una carga no autorizada que tocó más datos de clientes, detectada ese día.
Fireworks afirma que desde el 25 de octubre no ha vuelto a ver accesos exitosos del actor en su plataforma de clientes.
El análisis forense lo lleva Unit 42 de Palo Alto Networks, con aviso a las autoridades. La evidencia apunta a un grupo cibercriminal con motivación financiera que vende accesos robados a modelos de lenguaje a pasarelas ilícitas: el patrón llamado LLMjacking, documentado por Google y Mandiant el 2 de noviembre. Ningún grupo se ha atribuido el robo.
Uber no es el único cliente salpicado: Notion confirmó datos robados en el mismo incidente, menos del 1 % de sus espacios, con transcripciones de chats de su asistente de IA para una función de análisis.
Un número de licencia no se cambia como una contraseña
Una licencia es un documento de identidad oficial, y su número es una llave de identidad: con el nombre y la dirección, sirve para suplantar a la persona ante empresas e instituciones, abrir cuentas, pedir créditos o superar verificaciones.
Para un conductor hay otro filo: la licencia es su credencial de trabajo, el dato con el que la plataforma y las autoridades lo identifican. Y ese número no se cambia con dos clics: exige un trámite ante el estado, con tiempos y requisitos propios, mientras el número robado sigue circulando.
Queda una pregunta sin respuesta pública. Ni Uber ni Fireworks han explicado qué hacían datos de conductores en la cuenta que la empresa mantenía con un proveedor de modelos de inteligencia artificial.
El portavoz de Uber confirmó a TechCrunch que los avisos responden al incidente de su proveedor Fireworks.ai, que tenía acceso a algunos datos de la compañía, y remitió el resto de preguntas a Fireworks; la empresa no contestó a ese medio.
Uber ofrece a los conductores avisados monitoreo de crédito y asistencia antifraude sin costo, por medio de Cyberscout, de TransUnion, con inscripción abierta 90 días desde la carta. Y añade que, hasta la fecha, no ha identificado uso indebido de los datos.
La carta recomienda revisar los estados de cuenta, pedir los informes gratuitos y valorar una alerta de fraude o un congelamiento. Aviso práctico: la notificación oficial llega por correo postal, con código de activación impreso; toda llamada o correo que se haga pasar por Uber pidiendo datos merece desconfianza.
Es el segundo incidente conocido de Uber en lo que va de año, tras el que alcanzó a su unidad de carga, Uber Freight, y que una banda de extorsión se atribuyó. La investigación de Fireworks sigue abierta y la empresa advierte que puede revelar más información; el conteo de conductores avisados sigue repartido entre avisos estatales, sin una cifra final de la compañía.
Fuente: Uber Technologies, aviso oficial del incidente presentado ante la Fiscalía General de California
La conversación sigue en el foro
Comenta esta noticia, pregunta lo que quieras y comparte tu experiencia con otros lectores en el foro de Tecnología Geek. Participar es gratis: solo necesitas tu cuenta del sitio.
Entrar al foro
