Uber ostrzega kierowców: wyciekły dane z praw jazdy
Uber powiadamia tysiące kierowców, że podczas październikowego ataku na dostawcę technologicznym skradziono ich dane osobowe, w tym informacje z praw jazdy. Firma nie podała jeszcze pełnej liczby poszkodowanych. Z ujawnionych zawiadomień wynika, że incydent dotyczy co najmniej 7860 osób w trzech stanach USA.
Według zawiadomień składanych amerykańskim prokuratorom generalnym dostawca poinformował Ubera 9 października, że nieuprawniona osoba przejęła jego wewnętrzne dane uwierzytelniające. Następnie wykorzystano je do uzyskania dostępu do danych Ubera przechowywanych u tego dostawcy. Uber twierdzi, że po ustaleniu zakresu incydentu rozpoczął kontakt z kierowcami.
Za atakiem stoi Fireworks AI
Źródłem problemu okazało się Fireworks AI, platforma zapewniająca dostęp do modeli sztucznej inteligencji. W swoim komunikacie firma podała, że podczas incydentu uzyskano dostęp między innymi do informacji rozliczeniowych, a w przypadku ograniczonej grupy klientów także do sekretów, zbiorów danych i nieukończonych modeli. Dochodzenie nadal trwa, dlatego zakres zdarzenia może się zmienić.
Fireworks wiąże atak z finansowo motywowaną grupą, która miała sprzedawać tokeny umożliwiające nieuprawnione korzystanie z dużych modeli językowych. Taki proceder określa się mianem LLMJacking. Nie oznacza to jednak, że ustalono sprawców kradzieży danych Ubera. Żadna znana grupa cyberprzestępcza nie przyznała się do tego działania.
Co wiadomo o poszkodowanych
Zestawienia opisane w zawiadomieniach wskazują na 2567 osób w Massachusetts, 3430 w Karolinie Południowej i około 1873 mieszkańców Rhode Island. W przypadku Illinois liczba poszkodowanych nie była jeszcze znana, a Uber powiadomił również kierowców z Kalifornii bez podania ich liczby. Suma z wymienionych stanów nie jest więc pełnym bilansem incydentu.
To drugi publicznie opisany w tym roku incydent bezpieczeństwa dotyczący Ubera. Wcześniej firma informowała o zdarzeniu w jednostce Uber Freight. Najnowsza sprawa pokazuje natomiast, że ryzyko może powstać poza główną infrastrukturą firmy: przejęte konto dostawcy stało się drogą do danych jego klienta.
Fireworks deklaruje, że unieważnił i wymienił poświadczenia, ograniczył ścieżki dostępu oraz wzmocnił monitoring. Firma podkreśla też, że w jej usługach Inference, Training SDK i Nexus domyślnie obowiązuje zasada zerowego przechowywania danych. To ogranicza zakres danych pozostawianych w tych usługach, ale nie usuwa ryzyka związanego z sekretami i integracjami po stronie klientów.
Źródła
Autor Artykułu
Piotr Tchórz
Redaktor naczelny PC Arena. Łączy doświadczenie redakcyjne z zainteresowaniem komputerami, nowymi technologiami i sztuczną inteligencją. Pisze o tym, co zmienia się w świecie PC - od sprzętu i oprogramowania po praktyczne zastosowania AI.