Uber confirmó que información de licencias de conducir de miles de sus conductores quedó expuesta en un incidente de seguridad relacionado con un proveedor externo, identificado por TechCrunch como Fireworks AI. El atacante habría accedido a datos conectados con la cuenta de Uber del proveedor mediante credenciales internas comprometidas. La compañía cortó las conexiones de datos y abrió una investigación después de recibir el aviso.
La noticia destaca un punto clave: el acceso no se describió como una intrusión directa a la aplicación de viajes de Uber, sino como una exposición a través de un tercero que almacenaba información para la empresa. El aviso presentado ante autoridades estatales tampoco identifica por sí mismo al proveedor ni detalla todos los datos; TechCrunch relacionó el caso con Fireworks AI y reportó que entre la información robada había datos de licencias de conducir.
Qué se sabe del acceso a los datos
Según la información obtenida por Reuters a partir del aviso de privacidad, Fireworks AI informó a Uber el 9 de octubre que sus credenciales habían sido comprometidas y utilizadas para entrar a la cuenta de Uber alojada con el proveedor. La investigación de Uber determinó el 13 de octubre que el acceso no autorizado alcanzó información personal asociada a los registros. La lista del Departamento de Justicia de California registra el 7 de octubre como fecha del incidente y el 10 de noviembre como fecha de reporte.
El aviso público de California no especifica el número de conductores ni enumera los campos expuestos. Sin embargo, los avisos dirigidos a residentes en otros estados permiten conocer una parte del alcance: Reuters reportó que el caso afectó a 1,873 personas en Rhode Island, mientras que el Departamento de Asuntos del Consumidor de Carolina del Sur publicó un aviso con 3,430 residentes afectados. Los comunicados también incluyen instrucciones para personas de Washington D. C., Maryland, Carolina del Norte, Nueva York y Pensilvania.
Esas cifras corresponden a notificaciones de residentes en jurisdicciones concretas, no a un recuento nacional completo. Uber no ha publicado un total global de conductores afectados. El caso subraya por qué los incidentes con proveedores pueden generar obligaciones de notificación fragmentadas: las empresas deben identificar qué residentes están incluidos y comunicarles las medidas aplicables de acuerdo con los avisos correspondientes.
Uber ofrece monitoreo crediticio y asistencia
La empresa está ofreciendo sin costo servicios de monitoreo de crédito y asistencia contra fraude por medio de Cyberscout, compañía de TransUnion. Las personas que recibieron una carta tienen 90 días desde la fecha de ese aviso para inscribirse. Los detalles específicos, como el método de registro y la información necesaria para activar el beneficio, deben consultarse en la comunicación enviada directamente a cada persona afectada.
Uber dijo que hasta ahora no había identificado un uso indebido de la información. Esa declaración describe lo que la compañía conoce al momento de reportar el incidente; no significa que los datos no hayan salido de los sistemas del proveedor ni elimina la importancia de seguir las recomendaciones de seguridad. Si un conductor recibe una notificación, conviene confirmar que el mensaje sea legítimo mediante los canales oficiales señalados en la carta antes de compartir información adicional.
Por qué importa la seguridad de los proveedores
La filtración ocurre en una cadena de servicios donde una plataforma puede compartir o alojar datos en sistemas externos para realizar tareas específicas. Aunque la información se encuentre en un proveedor, el incidente puede involucrar registros vinculados al cliente que contrató ese servicio. En este caso, la exposición de licencias de conducir eleva la importancia de las alertas, pues son documentos usados para validar identidad y manejar trámites.
El incidente también se suma al ataque divulgado días antes contra Fireworks AI que afectó datos de clientes de la plataforma, entre ellos registros de usuarios de Notion, según reportes de TechCrunch. Estos casos no significan que todos los clientes del proveedor hayan quedado afectados de la misma manera; cada empresa debe evaluar qué datos estaban conectados y notificar a las personas correspondientes. Para Uber, el dato confirmado públicamente es el acceso a información personal que incluía licencias de conductores.
Por ahora, la recomendación práctica para quienes conduzcan con Uber es revisar cualquier notificación recibida, utilizar el monitoreo ofrecido dentro del periodo indicado y mantenerse atentos a intentos de fraude que se hagan pasar por la empresa o por autoridades. Las autoridades estatales y la compañía pueden actualizar sus avisos a medida que concluya la investigación. La cobertura de Reuters reúne el cronograma comunicado por Uber y los datos estatales disponibles, mientras que TechCrunch publicó la identificación de Fireworks AI y los datos de licencias.
Para más información relacionada, consulta nuestra cobertura sobre protección de datos, ciberseguridad e robo de identidad.
Para más noticias de tecnología, cultura geek, gadgets y entretenimiento, visita: GeekAndLife.com.mx
Descubre más contenido en nuestras redes: Instagram | YouTube | TikTok
Fuente: TechCrunch