Uber está notificando a conductores en Estados Unidos después de que un tercero accediera a información personal a través de Fireworks AI, uno de sus proveedores tecnológicos. Entre los datos robados figura información de licencias de conducir, informó TechCrunch tras revisar avisos presentados ante autoridades estatales.
La compañía indicó en una carta para las personas afectadas que cortó las conexiones de datos con el proveedor y abrió una investigación. También ofrece monitoreo de crédito y asistencia contra el fraude sin costo.
Un portavoz de Uber confirmó a TechCrunch que los avisos estaban relacionados con Fireworks AI. "Los avisos a los conductores están relacionados con un incidente de seguridad que afecta a uno de nuestros proveedores externos, Fireworks.ai, que tenía acceso a algunos datos de Uber", dijo al medio.
Qué muestran los avisos estatales
TechCrunch informó que los avisos que revisó incluían información de licencias de 3,430 personas en Carolina del Sur, 2,567 en Massachusetts y 1,873 en Rhode Island. Esas tres cifras suman 7,870 personas, pero no describen por sí solas el alcance nacional del incidente.
El aviso presentado en Illinois indicaba que también había residentes afectados, aunque la cifra estaba pendiente, según el medio. Uber había notificado además a conductores de California sin precisar cuántos tenían información comprometida. La empresa tampoco dijo a TechCrunch cuántos conductores estaba notificando en total.
La copia de la carta de Uber publicada por la fiscalía de California confirma la cifra de Rhode Island, pero deja sin completar el campo que identifica los tipos de información involucrada. Por ello, ese modelo público no permite determinar qué dato específico recibió cada destinatario en su aviso individual.
Una alerta en octubre y una investigación posterior
Según la carta fechada el 10 de noviembre de 2026, el proveedor informó a Uber el 9 de octubre que un tercero había comprometido credenciales internas y las había utilizado para entrar en la cuenta de Uber con ese proveedor. La carta no identifica a Fireworks por su nombre; Uber lo hizo después en su respuesta a TechCrunch.
Uber afirma que, tras recibir la alerta, interrumpió las conexiones de datos e inició una investigación. El 13 de octubre concluyó que el tercero había accedido a datos vinculados con el proveedor y que la información personal de los destinatarios de la carta estaba entre ellos.
Fireworks, que ofrece infraestructura para trabajar con modelos de inteligencia artificial, amplió su propio aviso el 9 de noviembre. Entonces informó de afectaciones a información de cuentas y facturación y, para un conjunto limitado de clientes, a secretos, conjuntos de datos y pesos incompletos de modelos.
La empresa también describió otra actividad posterior: un incidente del 23 de octubre en un proveedor de nube permitió a un tercero llegar al día siguiente a máquinas de desarrollo de Fireworks. La notificación que recibió Uber y su conclusión sobre el acceso a sus datos son anteriores a ese episodio. La carta de Uber no explica cómo se relaciona su caso con esa actividad posterior.
Patricia Rodriguez
Qué ofrece Uber a las personas notificadas
La carta ofrece monitoreo de crédito y asistencia contra el fraude a través de Cyberscout, una empresa de TransUnion. El modelo publicado en California indica que el destinatario debe inscribirse en un plazo de 90 días desde la fecha de la carta. La duración del monitoreo aparece como un campo sin completar en esa copia pública.
Uber señaló en la carta que, hasta su fecha, no había identificado un uso indebido de la información. También recomendó revisar los estados de cuenta y los informes de crédito, y reportar cualquier actividad sospechosa.
Notion, otro cliente de Fireworks, comunicó por separado que el incidente afectaba a menos del 1% de sus espacios de trabajo. Su investigación identificó transcripciones de conversaciones de Notion AI usadas en la función Insights; la empresa dijo que había contactado a los clientes afectados. Los avisos de Notion y Uber describen datos distintos de sus respectivos usuarios.
