Hay un tipo de confianza que delegamos sin verla: entregamos nuestros datos a empresas que a su vez los confían a otras, que los guardan en nombre de terceros. Así, un proveedor de infraestructura de inteligencia artificial, Fireworks AI, sufrió una intrusión con credenciales robadas, y por esa puerta salieron licencias de conducir de conductores de Uber en Estados Unidos. Al menos 7.870 personas ya están confirmadas en Massachusetts, Carolina del Sur y Rhode Island, y el número aún no está cerrado. La lección que deja el caso es que la seguridad de una empresa depende también de la de quienes
Uber admite que un proveedor de IA expuso licencias de conducir de al menos 7.870 choferes en EE.UU.
Al menos 7.870 conductores confirmados tienen sus datos de licencias de conducir expuestos, con riesgo de fraude de identidad.
Los datos salieron de un proveedor que los guardaba en su nombre
Mark
Empecemos por lo básico: ¿qué pasó exactamente?
Mimi
Un proveedor de Uber, Fireworks AI, sufrió un acceso no autorizado con credenciales vulneradas. Por ahí se expusieron licencias de conducir de al menos 7.870 conductores en tres estados.
Mark
¿Y los sistemas de Uber?
Mimi
Según Uber, no fueron comprometidos: ni producción, ni cuentas de usuarios, ni pagos ni historial de viajes. Los datos estaban en manos del proveedor.
Luke
Eso es lo que dice Uber. El aviso oficial en California ni siquiera nombra al proveedor; el nombre y el tipo de datos vienen de TechCrunch.
Mark
¿Y la cifra de 7.870?
Mimi
Es la suma de Massachusetts, Carolina del Sur y Rhode Island: 2.567, 3.430 y 1.873.
Luke
Y es un mínimo. Illinois sigue calculándose, California no tiene total y Uber no ha dicho cuántos conductores fueron notificados en el país.
Mark
¿Quién estaría detrás?
Mimi
Fireworks AI habla de un grupo con motivación económica que busca vender tokens de acceso a modelos de lenguaje.
Luke
Es una atribución de la propia empresa afectada. Nadie ha reivindicado el ataque y no hay confirmación independiente.
Mark
¿Hay daño concreto para los conductores?
Mimi
Uber dice que no ha detectado uso indebido, y ofrece 90 días de monitoreo de crédito gratuito con Cyberscout.
Luke
"No ha detectado" no es lo mismo que "no ocurrirá". Es pronto para saberlo.
O Pulso
- Un proveedor externo fue vulnerado y, sin que Uber hubiera sido atacado directamente, las licencias de conducir de miles de choferes quedaron expuestas.
- Las notificaciones llegan por goteo a los fiscales de cada estado, y las cifras de Illinois y California todavía no son definitivas.
- Uber cortó de inmediato las conexiones con Fireworks AI, abrió una investigación interna y ofrece 90 días de monitoreo de crédito gratuito a los afectados.
- El recuento sigue creciendo: a medida que otros estados publiquen sus avisos, el número de conductores alcanzados podría subir de forma considerable.
Hay un tipo de confianza que delegamos sin verla: entregamos nuestros datos a empresas que a su vez los confían a otras, que los guardan en nombre de terceros. Así, un proveedor de infraestructura de inteligencia artificial, Fireworks AI, sufrió una intrusión con credenciales robadas, y por esa puerta salieron licencias de conducir de conductores de Uber en Estados Unidos. Al menos 7.870 personas ya están confirmadas en Massachusetts, Carolina del Sur y Rhode Island, y el número aún no está cerrado. La lección que deja el caso es que la seguridad de una empresa depende también de la de quienes guardan sus datos.
El 9 de octubre, un proveedor externo de Uber avisó a la compañía de que alguien había entrado sin permiso en su cuenta. Uber cortó de inmediato las conexiones de datos y abrió una investigación interna. Cuatro días después concluyó que las credenciales comprometidas habían servido para acceder a información personal de conductores en Estados Unidos.
Se supo primero por un aviso de la fiscal general de California, que no nombraba al proveedor ni detallaba los datos afectados. TechCrunch identificó después a la empresa como Fireworks AI, una plataforma que ofrece a otras compañías acceso a modelos de inteligencia artificial sin que tengan que montar sus propios servidores. Según Fireworks, detectó la intrusión el 6 de octubre y avisó a Uber tres días más tarde. Atribuye el ataque a un grupo cibercriminal interesado en vender tokens de acceso robados, aunque ningún grupo se ha responsabilizado públicamente.
Las cifras confirmadas suman al menos 7.870 afectados: 2.567 en Massachusetts, 3.430 en Carolina del Sur y 1.873 en Rhode Island. Illinois aún está contando y California recibió notificaciones sin total publicado. Uber ofrece monitoreo de crédito y asistencia contra el fraude a través de Cyberscout, con 90 días para inscribirse, y afirma que hasta ahora no ha detectado uso indebido de los datos. Sus sistemas de producción, cuentas de usuarios y bases de pagos e historial de viajes no habrían sido comprometidos.
Es el segundo incidente de seguridad de Uber en 2026, pero esta vez la puerta de entrada no fue la propia infraestructura de la empresa, sino la de un proveedor que custodiaba datos en su nombre. Lo que viene ahora es el recuento: los avisos de otros estados, las cifras pendientes y el plazo para que los conductores se protejan.
El 9 de octubre, un proveedor externo avisó a Uber de que alguien había entrado sin autorización en su cuenta. Uber cortó de inmediato las conexiones de datos con ese proveedor y abrió una investigación interna. Cuatro días después, el 13 de octubre, la compañía concluyó que las credenciales comprometidas se habían usado para acceder a información personal de conductores en Estados Unidos.
Lo que se sabe del caso procede de un aviso publicado en el sitio web de la fiscal general de California, que Reuters recogió. Ese documento no nombraba al proveedor ni detallaba qué datos se vieron afectados. Fue TechCrunch quien informó de que la empresa era Fireworks AI y de que entre lo sustraído había datos de licencias de conducir. Ni Uber ni Fireworks AI respondieron a las consultas de Reuters.
Fireworks AI es una plataforma que da a los desarrolladores acceso a modelos de inteligencia artificial de código abierto. Funciona como infraestructura para empresas tecnológicas que necesitan ejecutar esos modelos sin montar sus propios servidores, de modo que maneja información sensible de varios clientes. Según la compañía, detectó la intrusión el 6 de octubre y avisó a Uber tres días después. La atribuyó a un grupo cibercriminal con motivación económica, cuyo objetivo sería vender tokens de acceso robados a grandes modelos de lenguaje. Hasta el cierre de la nota original, ningún grupo conocido había reivindicado el ataque.
Las cifras provienen de notificaciones presentadas ante fiscales generales de varios estados, recopiladas por TechCrunch. Los datos de licencias de conducir robados corresponden a 2.567 personas en Massachusetts, 3.430 en Carolina del Sur y 1.873 en Rhode Island: al menos 7.870 afectados confirmados. En Illinois todavía se calculaba cuántos residentes estaban afectados. California también recibió notificaciones, pero Uber no dio un total para ese estado. Tampoco ha revelado cuántos conductores recibieron aviso en todo el país, y se espera que las cifras suban a medida que otros estados publiquen los suyos. El aviso californiano incluye además instrucciones para residentes del Distrito de Columbia, Maryland, Carolina del Norte y Nueva York.
Como respuesta, Uber ofrece monitoreo de crédito gratuito y asistencia contra el fraude a través de Cyberscout, empresa de TransUnion. Los destinatarios tienen 90 días desde la fecha de la carta para inscribirse. La compañía dijo que, hasta ahora, no ha detectado ningún uso indebido de los datos comprometidos.
Un portavoz de Uber confirmó a TechCrunch que las notificaciones se deben a un incidente de seguridad en uno de sus proveedores externos, Fireworks.ai, que tenía acceso a algunos datos de Uber, y remitió las preguntas técnicas a Fireworks. Precisó que sus sistemas de producción, las cuentas de usuarios y las bases de datos con información de pagos e historial de viajes no resultaron comprometidos.
Es el segundo incidente de seguridad de Uber en lo que va de 2026. Antes, la empresa informó de una brecha en su división de logística, Uber Freight, atribuida a un grupo de extorsionadores. La diferencia es que esta vez los sistemas propios de Uber no fueron la puerta de entrada: los datos salieron de un proveedor que los guardaba en su nombre.
Lo que viene es el recuento. Conviene seguir los avisos de otros estados, la cifra de Illinois y California, y el plazo de 90 días para que los conductores se inscriban en el monitoreo de crédito.
Citações Notáveis
Un incidente de seguridad que afecta a uno de nuestros proveedores externos, Fireworks.ai, que tenía acceso a algunos datos de Uber.— Portavoz de Uber a TechCrunch
Quer a matéria completa?
Leia o original em Infobae ↗