Uber empezó a notificar a miles de conductores que sus datos personales y de licencia de conducir fueron robados en un incidente de seguridad ocurrido en octubre en uno de sus proveedores tecnológicos. Así lo informó TechCrunch, que identificó al proveedor como Fireworks AI, una plataforma que permite a desarrolladores acceder a modelos abiertos de inteligencia artificial. The Wall Street Journal también reportó que los datos quedaron expuestos a través de un tercero.
«Las notificaciones a los conductores se relacionan con un incidente de seguridad que afectó a uno de nuestros proveedores externos, Fireworks.ai, que tenía acceso a algunos datos de Uber», dijo un vocero de la compañía a TechCrunch.
Qué pasó
Según la notificación que Uber presentó ante la Fiscalía General de Iowa, fechada el 10 de noviembre, el 9 de octubre un proveedor de servicios le avisó que un tercero no autorizado había comprometido sus credenciales internas y las había usado para entrar a la cuenta de Uber en ese servicio. Uber cortó de inmediato las conexiones de datos con el proveedor e inició una investigación.
El 13 de octubre, la compañía determinó que el atacante había usado esas credenciales el 7 de octubre para acceder a datos con información personal. Según el mismo documento, los datos incluían imágenes de licencias de conducir y texto extraído de ellas: nombre, dirección, fecha de nacimiento y número de licencia.
Un detalle llama la atención: la información estaba en un entorno de almacenamiento en la nube creado por Uber específicamente para el trabajo del proveedor, con alertas activadas y bajo la supervisión de su equipo de seguridad en la nube. Pero como el atacante usó credenciales válidas y flujos de datos habilitados, no se disparó ninguna alerta. Uber afirma que esas credenciales no daban acceso a otros sistemas de la compañía y que la investigación sigue abierta.
Cuántos afectados
Uber no informó un total. Según las notificaciones estatales revisadas por TechCrunch, hay 2.567 afectados en Massachusetts, 3.430 en Carolina del Sur y 1.873 en Rhode Island. La presentación ante Iowa menciona unos 2.999 residentes de ese estado, y PCMag cita 1.071 en Vermont. También hubo notificaciones en California, Illinois y otros estados, con cifras pendientes o sin publicar, por lo que el número probablemente crezca.
El origen: Fireworks AI
Fireworks reportó el mes pasado una filtración en la que robaron información de clientes, incluidos datos de facturación y algunos conjuntos de datos privados de IA. Según TechCrunch, Notion confirmó que también le robaron datos en ese ataque. Fireworks lo atribuyó a un grupo cibercriminal con fines económicos que busca vender tokens robados para acceder a modelos de lenguaje (LLM). Hasta ahora ningún grupo se adjudicó el robo.
Es la segunda filtración conocida de Uber este año: antes reportó un incidente en su unidad de transporte de cargas, Uber Freight, que una banda de extorsión se adjudicó.
Qué ofrece Uber a los afectados
La compañía dijo que no identificó un uso indebido de los datos y ofrece monitoreo de crédito y asistencia contra el fraude gratis a través de Cyberscout, con 90 días para inscribirse desde la fecha de la carta, según Yahoo News.
Por qué importa
El caso muestra un riesgo cada vez más común: la cadena de proveedores, en especial los de IA, que reciben acceso a datos sensibles. Aun con un entorno aislado y alertas activadas, unas credenciales válidas en manos equivocadas alcanzaron para extraer documentos de identidad. Para las empresas, la lección pasa por minimizar los datos que se comparten con terceros, limitar y rotar los accesos y exigir en los contratos que los incidentes se notifiquen rápido. Para los conductores afectados, conviene inscribirse en el monitoreo y desconfiar de cualquier mensaje que pida pagos, contraseñas o datos de la licencia en nombre de Uber.
Hasta el momento no hay información sobre conductores de América Latina afectados: las notificaciones conocidas corresponden a estados de EE.UU.
Fuentes: TechCrunch; The Wall Street Journal; notificación de Uber ante la Fiscalía General de Iowa (10/11/2026); PCMag; Yahoo News; The Hill.