Uber confirma vazamento de dados de carteiras de motorista via fornecedor Fireworks AI

A Uber está avisando milhares de motoristas de que dados pessoais e informações da carteira de motorista foram roubados em um vazamento ocorrido em outubro em um de seus fornecedores de tecnologia. Os comunicados foram enviados nesta semana a procuradores-gerais de vários estados americanos, incluindo o da Califórnia.

Segundo a empresa, o fornecedor avisou a Uber em 9 de outubro que hackers tinham invadido seus sistemas e roubado credenciais internas, depois usadas para acessar dados da Uber. A TechCrunch apurou que o fornecedor é a Fireworks AI, plataforma que permite a desenvolvedores acessar e usar modelos de IA abertos. Um porta-voz da Uber confirmou o incidente com a Fireworks.ai e remeteu as perguntas à empresa, que não respondeu à reportagem.

Os avisos consultados pela TechCrunch indicam que foram roubadas as carteiras de motorista de 2.567 pessoas em Massachusetts, 3.430 na Carolina do Sul e 1.873 em Rhode Island. Um registro em Illinois mostra que moradores do estado foram afetados, mas o número ainda está pendente. A Uber também notificou motoristas da Califórnia sem informar quantos foram atingidos. A Uber não disse o total de afetados, e a expectativa é que o número suba conforme novas notificações forem apresentadas.

A Fireworks já havia comunicado o ataque no mês passado: os invasores levaram informações de clientes, como dados de cobrança e alguns conjuntos de dados privados de IA. A empresa atribuiu o ataque a um grupo cibercriminoso com motivação financeira, cujo objetivo seria vender tokens roubados de acesso a grandes modelos de linguagem (LLMs). Nenhum grupo conhecido assumiu a autoria do roubo de dados. A Notion também confirmou que teve dados levados na invasão à Fireworks.

Este é o segundo vazamento conhecido da Uber em 2026. Antes, a empresa havia reportado um incidente na Uber Freight, unidade de fretes rodoviários, pelo qual um grupo de extorsão reivindicou o roubo de dados.

O caso mostra o risco de dados pessoais ficarem em fornecedores terceirizados: a invasão não atingiu diretamente a Uber, mas expôs informações de seus motoristas.