Milhares de motoristas do Uber nos Estados Unidos estão sendo informados de que seus dados pessoais e as informações da carteira de habilitação foram roubados. Os dados foram obtidos em uma invasão ocorrida em outubro na Fireworks AI, um provedor de tecnologia terceirizado que mantinha registros da Uber.
A Uber divulgou o incidente em notificações de violação enviadas a várias procuradorias-gerais estaduais, incluindo a da Califórnia. Segundo uma reportagem do Cyber Security News, um porta-voz da Uber confirmou ao TechCrunch que a Fireworks AI era o fornecedor envolvido.
A empresa não informou quantas pessoas foram afetadas em todo o país. As notificações conhecidas até agora são de motoristas, e nada nelas indica que contas de passageiros tenham sido expostas.
Credenciais roubadas de fornecedor abriram a porta
O ataque não invadiu os sistemas próprios da Uber. Ele passou pelo fornecedor.
Em 9 de outubro de 2026, o provedor informou à Uber que uma parte não autorizada havia comprometido suas credenciais internas. O invasor usou essas credenciais para acessar a conta da Uber no provedor, onde os registros pessoais estavam armazenados.
A Uber cortou as conexões de dados com o provedor e iniciou uma investigação. Em 13 de outubro, a apuração confirmou que o invasor havia acessado dados da Uber, incluindo as informações pessoais das pessoas que agora estão sendo notificadas.
A carta de notificação da Uber é datada de 10 de novembro, cerca de um mês após o primeiro alerta. O aviso da Califórnia não cita o provedor nem lista os dados envolvidos, segundo a Reuters.
A Fireworks AI divulgou uma violação própria no mês passado. Nesse caso, hackers levaram informações de clientes, incluindo dados de cobrança e alguns conjuntos de dados privados de inteligência artificial (IA). Não está claro se algum outro dado da Uber fez parte desse roubo mais amplo.
Nenhum grupo criminoso conhecido reivindicou o ataque.
Pelo menos 7.870 motoristas afetados em três estados
Documentos estaduais analisados pelo TechCrunch apontam 7.870 pessoas confirmadas em três estados. Os dados roubados incluem detalhes da carteira de habilitação.
O número real é maior. A Uber enviou notificações em outros estados também, e a cifra deve crescer à medida que mais documentos se tornarem públicos.
Esta é a segunda violação conhecida da Uber em 2026. No início do ano, a empresa informou um incidente de segurança em sua unidade Uber Freight, que um grupo de extorsão reivindicou.
O comprometimento da Fireworks AI também atingiu outras empresas. A Notion afirmou que o mesmo provedor esteve por trás de uma exposição de transcrições de conversas com IA que afetou menos de 1% dos espaços de trabalho de seus clientes.
O que a Uber oferece aos motoristas afetados
A Uber afirma que não havia identificado uso indevido das informações roubadas quando as cartas foram enviadas. A empresa oferece monitoramento de crédito gratuito e assistência contra fraudes por meio da Cyberscout, empresa da TransUnion.
Motoristas que receberem uma carta devem:
- Aderir ao serviço de monitoramento em até 90 dias a partir da data da carta, usando o código de ativação fornecido.
- Verificar extratos bancários e de contas em busca de movimentações que não reconheçam.
- Considerar um alerta de fraude ou um bloqueio de crédito, que dificulta a abertura de novas contas em seu nome.
- Desconfiar de ligações, mensagens de texto ou e-mails inesperados sobre a violação, já que dados de habilitação roubados costumam ser usados em golpes posteriores.
Números de carteira de habilitação são valiosos para fraudadores porque ajudam a passar em verificações de identidade. Diferentemente de uma senha, um número de habilitação não pode ser trocado rapidamente.
