У Uber утекли водительские данные: цифровая дверь оказалась не заперта
Следите за новостями по этой теме!
Подписаться на «Гик Гайд (3 апельсина) / Цифра сегодня»
Uber уведомляет тысячи водителей о краже персональных данных и водительских удостоверений в результате недавней утечки. О взломе компания сообщила в документах, поданных в этом месяце генеральным прокурорам штатов США.
Источником инцидента стал сторонний поставщик Uber — Fireworks AI. По данным TechCrunch, именно эта компания уведомила Uber о взломе, затронувшем базы данных нескольких её клиентов. Fireworks AI предоставляет облачные инструменты для разработки искусственного интеллекта.
Согласно первоначальным уведомлениям об утечке, в частности связанным с сервисом для совместной работы Notion, злоумышленники получили доступ к платёжным данным и некоторым закрытым наборам данных для обучения и разработки ИИ. Пострадала небольшая доля из нескольких тысяч клиентов Fireworks AI. Сама компания объяснила, что неизвестные хакеры взломали её облачного провайдера, проникли в систему разработки, а затем воспользовались внутренними учётными данными, чтобы добраться до информации клиентов. По версии Fireworks AI, мотивом преступников могло быть желание похитить токены LLM и продать их. LLM — большие языковые модели, а токены в этом контексте представляют собой единицы обработки текста, за которые часто взимается плата.
Notion подтвердил, что злоумышленники получили обезличенные стенограммы диалогов пользователей Notion AI. Обезличивание означает удаление прямых идентификаторов, однако само по себе не гарантирует, что любые сведения невозможно связать с конкретным человеком.
Uber требует от водителей загружать документы, подтверждающие действительность водительских прав, наличие страховки и место жительства. Компания также собирает банковские выписки и платёжные данные. В июне Uber объявил о дополнительных проверках биографии водителей и расширении правил, по которым их оценивают и могут отстранять на основании открытых государственных записей.
Uber не назвал общее число водителей, непосредственно затронутых утечкой, но заявил, что уведомит всех пострадавших. По оценкам сторонних источников, в сети компании работает более 10 миллионов водителей и курьеров. На данный момент Uber сообщил о почти 8 тысячах скомпрометированных аккаунтов в трёх штатах: Массачусетсе, Южной Каролине и Род-Айленде.
PEREC.RU
У цифровых компаний есть любимый ритуал: назвать себя платформой, а всё неприятное — работой подрядчика. Так ответственность удобно распределяется по цепочке: клиент собирает документы, поставщик хранит данные, облако обслуживает поставщика, а хакер приходит и обнаруживает, что замок был скорее элементом дизайна.
В этой истории особенно выразительно соседствуют две привычные вещи. С одной стороны, Uber требует от водителей документы, банковские сведения и подтверждения, потому что безопасность и проверка — дело серьёзное. С другой — безопасность самих систем оказывается зависимой от чужой инфраструктуры и внутренних учётных данных. Контроль строгий, пока речь о человеке за рулём; когда речь о подрядной цепочке, контроль внезапно становится коллективным проектом без единственного ответственного.
Версия о краже токенов для перепродажи звучит почти буднично: цифровые ресурсы уже давно стали товаром, а чужая инфраструктура — складом самообслуживания для тех, кто умеет подбирать ключи. Ирония в том, что компании продают автоматизацию как способ убрать человеческие ошибки, но доступ к данным всё ещё держится на паролях, полномочиях и процедурах, которые кто-то где-то настроил. Машины пока не избавили бизнес от людей; они просто научили ошибки путешествовать быстрее.
Обезличенные разговоры тоже не следует превращать в магическое слово, после которого можно выдохнуть. Удаление имени уменьшает прямую узнаваемость, но не отменяет ценности содержимого и риска сопоставления с другими сведениями. «Обезличено» — полезная мера, а не индульгенция, выданная таблице данных за хорошее поведение.
Для водителей последствия не ограничиваются неприятным уведомлением. Им приходится доверять платформе сведения, необходимые для допуска к работе и выплат, а после инцидента — ждать, какие именно данные попали не туда и что с ними будут делать. Компания обещает сообщить всем затронутым, но обещание уведомить — это пока только конверт, не ответ на вопрос, как именно закрыли дыру.
Подрядчики экономят время и дают доступ к специализированным технологиям; поэтому бизнес будет продолжать пользоваться ими. Но если ответственность растворяется между платформой, облачным провайдером и поставщиком ИИ, платить за удобство в итоге может тот, кто меньше всех выбирал архитектуру системы. Это не заговор, а куда более привычная схема: выгоды централизованы, риски переданы вниз, а после взлома все участники срочно вспоминают, что работали по договору.
Пока компании говорят о цифровом доверии, оно напоминает зонтик, который выдают пассажиру уже после дождя. Следующий этап — не очередная торжественная презентация безопасности, а ясное объяснение: какие данные скомпрометированы, как изменён доступ и кто отвечает, если подрядчик снова решит, что внутренние ключи можно оставлять в удобном месте. До тех пор «защищённая платформа» звучит примерно как «надёжный замок, ключ от которого хранится у соседей».
