La empresa notificó a más de 7.870 conductores en al menos tres estados tras el acceso no autorizado a datos personales a través de Fireworks AI, un proveedor externo. Uber ofreció monitoreo de crédito gratuito a los afectados.
Uber confirmó que un tercero no autorizado accedió a datos de conductores en Estados Unidos. El acceso se produjo a través de un proveedor externo cuyas credenciales fueron vulneradas, según un aviso publicado en el sitio web de la fiscal general de California, recogido por Reuters.
El proveedor alertó a Uber el 9 de octubre sobre el acceso no autorizado a su cuenta. La compañía cortó las conexiones de datos con ese proveedor y abrió una investigación interna. El 13 de octubre, la investigación determinó que las credenciales comprometidas se habían usado para acceder a información personal de conductores.
Fireworks AI como proveedor comprometido
El aviso oficial no identificó al proveedor ni enumeró los datos afectados. El medio especializado TechCrunch informó que la empresa involucrada era Fireworks AI y que la información sustraída incluía datos de licencias de conducir. Uber y Fireworks AI no respondieron a las solicitudes de comentarios de Reuters.
Los afectados confirmados superan los 7.870 en al menos tres estados
Según notificaciones presentadas ante los fiscales generales de varios estados y recopiladas por TechCrunch, los datos de licencias de conducir robados corresponden a 2.567 personas en Massachusetts, 3.430 en Carolina del Sur y 1.873 en Rhode Island, lo que totaliza al menos 7.870 afectados confirmados. En Illinois, el número de residentes afectados aún estaba siendo calculado al cierre de esta nota. California también recibió notificaciones, pero Uber no reveló una cifra total para ese estado.
La compañía no divulgó el número global de conductores notificados. Se espera que las cifras aumenten a medida que otros estados publiquen sus propios avisos. El aviso de California también incluye instrucciones para habitantes del Distrito de Columbia, Maryland, Carolina del Norte y Nueva York.
Monitoreo de crédito gratuito para los afectados
Como medida de respuesta, Uber anunció monitoreo de crédito gratuito y asistencia contra el fraude para las personas afectadas, a través de Cyberscout, una empresa de TransUnion. Los destinatarios tienen 90 días desde la fecha de la carta para inscribirse. Uber indicó que, hasta el momento, no identificó ningún uso indebido de los datos comprometidos.
Fireworks AI vinculó el ataque a un grupo con motivación económica
Fireworks AI, plataforma que ofrece a desarrolladores acceso a modelos de inteligencia artificial de código abierto, detectó la intrusión el 6 de octubre y notificó a Uber tres días después. La empresa atribuyó la brecha a un grupo cibercriminal con motivación financiera cuyo objetivo es vender tokens de acceso robados a grandes modelos de lenguaje (LLM, del inglés large language models). Hasta el cierre de esta nota, ningún grupo conocido había reivindicado la autoría del robo.
Un portavoz de Uber confirmó a TechCrunch que las notificaciones a los conductores se relacionan con “un incidente de seguridad que afecta a uno de nuestros proveedores externos, Fireworks.ai, que tenía acceso a algunos datos de Uber”, y derivó las consultas técnicas a Fireworks. La compañía precisó que sus propios sistemas de producción, cuentas de usuarios y bases de datos con información de pagos e historial de viajes no fueron comprometidos.
Segundo incidente de seguridad en 2026
La filtración es el segundo incidente de seguridad que enfrenta Uber en lo que va del año. Antes, la empresa informó una brecha en su división de logística, Uber Freight, atribuida a un grupo de extorsionadores.
A diferencia de incidentes anteriores, los sistemas propios de Uber no fueron el punto de entrada. Los datos se filtraron a través de un proveedor externo que los almacenaba en su nombre.
Fireworks AI opera como infraestructura para empresas tecnológicas que necesitan ejecutar modelos de inteligencia artificial sin construir sus propios servidores, lo que implica que maneja información sensible de múltiples clientes.