Se han filtrado datos de conductores de Uber: la puerta digital estaba abierta
Uber está notificando a miles de conductores el robo de datos personales y permisos de conducir a raíz de una reciente filtración. La empresa informó del ataque en documentos presentados este mes ante los fiscales generales de varios estados de Estados Unidos.
El incidente tuvo su origen en un proveedor externo de Uber, Fireworks AI. Según TechCrunch, fue esta empresa la que avisó a Uber de un ataque que afectó a las bases de datos de varios de sus clientes. Fireworks AI ofrece herramientas en la nube para desarrollar inteligencia artificial.
Según las notificaciones iniciales de la filtración, entre ellas las relacionadas con Notion, un servicio de colaboración, los atacantes accedieron a datos de pago y a algunos conjuntos de datos confidenciales utilizados para entrenar y desarrollar IA. Se vio afectada una pequeña proporción de los varios miles de clientes de Fireworks AI. La propia empresa explicó que unos piratas informáticos desconocidos vulneraron a su proveedor de servicios en la nube, entraron en el sistema de desarrollo y después utilizaron credenciales internas para acceder a la información de los clientes. Según Fireworks AI, los delincuentes podrían haber querido robar tokens de LLM para venderlos. LLM son las siglas de modelos de lenguaje grandes, y en este contexto los tokens son unidades de procesamiento de texto por las que a menudo se cobra.
Notion confirmó que los atacantes obtuvieron transcripciones anonimizadas de conversaciones de usuarios de Notion AI. La anonimización consiste en eliminar los identificadores directos, pero por sí sola no garantiza que sea imposible vincular cualquier información con una persona concreta.
Uber exige a los conductores que suban documentos que acrediten la validez de su permiso de conducir, la cobertura del seguro y su domicilio. La empresa también recopila extractos bancarios y datos de pago. En junio, Uber anunció comprobaciones adicionales de los antecedentes de los conductores y la ampliación de las normas por las que se les evalúa y se les puede suspender basándose en registros públicos.
Uber no ha precisado el número total de conductores directamente afectados por la filtración, pero ha declarado que avisará a todos los perjudicados. Según estimaciones de fuentes externas, en la red de la empresa trabajan más de 10 millones de conductores y repartidores. Por ahora, Uber ha informado de casi 8.000 cuentas comprometidas en tres estados: Massachusetts, Carolina del Sur y Rhode Island.
PEREC.RU
Las empresas digitales tienen un ritual favorito: llamarse plataforma y atribuir todo lo desagradable al trabajo de un proveedor. Así se reparte cómodamente la responsabilidad a lo largo de la cadena: el cliente recopila documentos, el proveedor almacena los datos, la nube presta servicio al proveedor y llega el pirata informático para descubrir que la cerradura era más bien un elemento decorativo.
En esta historia resulta especialmente llamativa la convivencia de dos cosas de siempre. Por un lado, Uber exige a los conductores documentos, datos bancarios y justificantes, porque la seguridad y las comprobaciones son cosa seria. Por otro, la seguridad de los propios sistemas depende de infraestructuras ajenas y de credenciales internas. El control es estricto cuando se trata de la persona al volante; cuando hablamos de la cadena de proveedores, de repente el control se convierte en un proyecto colectivo sin un responsable único.
La hipótesis del robo de tokens para revenderlos suena casi rutinaria: los recursos digitales hace tiempo que son mercancía, y las infraestructuras ajenas, almacenes de autoservicio para quien sabe encontrar las llaves. La ironía es que las empresas venden la automatización como una forma de eliminar los errores humanos, pero el acceso a los datos sigue dependiendo de contraseñas, permisos y procedimientos que alguien configuró en algún sitio. Las máquinas aún no han librado a las empresas de las personas; simplemente han enseñado a los errores a viajar más deprisa.
Tampoco conviene convertir «anonimizado» en una palabra mágica que permita respirar tranquilo. Eliminar el nombre reduce la identificación directa, pero no resta valor al contenido ni elimina el riesgo de cruzarlo con otros datos. «Anonimizado» es una medida útil, no una indulgencia concedida a una tabla de datos por haberse portado bien.
Para los conductores, las consecuencias no se limitan a recibir un aviso desagradable. Tienen que confiar a la plataforma los datos necesarios para poder trabajar y cobrar y, tras el incidente, esperar a saber exactamente qué información acabó donde no debía y qué harán con ella. La empresa promete avisar a todos los afectados, pero avisar no es más que un sobre: no responde a la pregunta de cómo se ha cerrado exactamente el agujero.
Los proveedores ahorran tiempo y dan acceso a tecnologías especializadas; por eso las empresas seguirán recurriendo a ellos. Pero si la responsabilidad se disuelve entre la plataforma, el proveedor de la nube y el suministrador de IA, quien puede acabar pagando por la comodidad es precisamente quien menos ha decidido sobre la arquitectura del sistema. No es una conspiración, sino algo mucho más habitual: los beneficios se centralizan, los riesgos se trasladan hacia abajo y, después del ataque, todos los implicados se apresuran a recordar que trabajaban conforme a un contrato.
Mientras las empresas hablan de confianza digital, esta se parece a un paraguas que entregan al pasajero después de la lluvia. El siguiente paso no es otra solemne presentación de seguridad, sino una explicación clara: qué datos se han visto comprometidos, cómo se ha modificado el acceso y quién responde si el proveedor vuelve a pensar que las llaves internas pueden dejarse en un sitio cómodo. Hasta entonces, «plataforma segura» suena más o menos como «cerradura fiable cuya llave guardan los vecinos».
