✨︎ Resumen (TL;DR):
- Uber notificó a conductores en Estados Unidos después de que un tercero accediera a datos personales mediante Fireworks AI.
- Los avisos revisados reúnen 7,870 personas en Carolina del Sur, Massachusetts y Rhode Island.
- La compañía desconectó al proveedor y ofrece monitoreo de crédito y asistencia contra el fraude sin costo.
Uber notificó a conductores en Estados Unidos después de que un tercero usara credenciales internas comprometidas para acceder a datos personales a través de Fireworks AI, uno de sus proveedores tecnológicos. Entre la información involucrada figura la de licencias de conducir. La empresa cortó las conexiones de datos con el proveedor, abrió una investigación y ofrece monitoreo de crédito y asistencia contra el fraude sin costo.
Las cifras estatales no fijan el alcance nacional
Los avisos que TechCrunch revisó incluyen información de licencias de conducir de 3,430 personas en Carolina del Sur, 2,567 en Massachusetts y 1,873 en Rhode Island. Las tres cifras suman 7,870 personas, pero no describen por sí solas el alcance nacional del incidente.
El aviso presentado en Illinois también indicaba que había residentes afectados, aunque la cifra seguía pendiente. Uber notificó además a conductores de California, sin precisar cuántos tenían información comprometida. La empresa tampoco dijo cuántos conductores estaba notificando en total.
La copia de la carta de Uber publicada por la fiscalía de California confirma la cifra de Rhode Island, pero deja sin completar el campo que identifica los tipos de información involucrada. Ese modelo público no permite determinar qué dato específico recibió cada destinatario en su aviso individual.
Cómo se produjo el acceso a través de Fireworks AI
Fireworks AI es un proveedor de infraestructura que permite trabajar con modelos de inteligencia artificial.
Según la carta fechada el 10 de noviembre de 2026, el proveedor informó a Uber el 9 de octubre que un tercero había comprometido credenciales internas y las había utilizado para entrar a la cuenta de Uber con ese proveedor. La carta no identificaba a Fireworks por su nombre; Uber lo hizo después en su respuesta a TechCrunch.
Tras recibir la alerta, Uber interrumpió las conexiones de datos e inició una investigación. El 13 de octubre, concluyó que el tercero había accedido a datos vinculados con el proveedor y que la información personal de los destinatarios de la carta estaba entre ellos.
Un portavoz de Uber confirmó a TechCrunch que los avisos estaban relacionados con Fireworks.ai: “Los avisos a los conductores están relacionados con un incidente de seguridad que afecta a uno de nuestros proveedores externos, Fireworks.ai, que tenía acceso a algunos datos de Uber”, dijo al medio.
Fireworks reportó actividad posterior
Fireworks amplió su propio aviso el 9 de noviembre. La empresa informó entonces de afectaciones a información de cuentas y facturación y, para un conjunto limitado de clientes, a secretos, conjuntos de datos y pesos incompletos de modelos.
También describió otra actividad posterior. Un incidente del 23 de octubre en un proveedor de nube permitió que un tercero tuviera acceso, al día siguiente, a máquinas de desarrollo de Fireworks. La notificación que recibió Uber y su conclusión sobre el acceso a sus datos son anteriores a ese episodio. La carta de Uber no explica cómo se relaciona su caso con esa actividad posterior.
Notion, otro cliente de Fireworks, comunicó por separado que el incidente afectaba a menos del 1% de sus espacios de trabajo. Su investigación identificó transcripciones de conversaciones de Notion AI usadas en la función Insights; la empresa dijo que había contactado a los clientes afectados. Los avisos de Notion y Uber describen datos distintos de sus respectivos usuarios.
Qué ofrece Uber a las personas notificadas
La carta ofrece monitoreo de crédito y asistencia contra el fraude a través de Cyberscout, una empresa de TransUnion. El modelo publicado en California indica que el destinatario debe inscribirse en un plazo de 90 días desde la fecha de la carta. La duración del monitoreo aparece como un campo sin completar en esa copia pública.
Uber señaló en la carta que, hasta su fecha, no había identificado un uso indebido de la información. También recomendó revisar los estados de cuenta y los informes de crédito, y reportar cualquier actividad sospechosa.
La información disponible deja una cifra acumulada para tres estados, no un total nacional: 7,870 personas. Illinois mantenía la cifra pendiente y California no precisó cuántos conductores tenían datos comprometidos. Uber tampoco ha comunicado cuántos avisos envió en total.
