Uber, yapay zeka tedarikçisi Fireworks AI'daki ihlalde binlerce sürücünün ehliyet kaydının çalındığını açıkladı

Ne oldu

Uber, Amerika Birleşik Devletleri'ndeki binlerce sürücüyü, ekim ayında şirketin teknoloji tedarikçilerinden birine sızan saldırganların ehliyet bilgilerini ve diğer kişisel verilerini çaldığı konusunda uyarıyor. Haberi ortaya çıkaran TechCrunch'a göre Uber, olayı bu hafta Kaliforniya dahil olmak üzere birçok ABD eyalet başsavcılığına sunulan bildirimlerde açıkladı.

Uber, tedarikçinin 9 Ekim'de kendisini uyardığını ve hacker'ların iç kimlik bilgilerini ele geçirip bu bilgileri Uber'e ait verilere erişmek için kullandığını bildirdiğini söyledi. Araç çağırma şirketi bunun ardından etkilenen sürücüleri, bilgilerinin bu sağlayıcıda bulunduğu konusunda bilgilendirmeye başladı.

Tedarikçi Fireworks AI'dı

TechCrunch, sağlayıcının Fireworks AI olduğunu tespit etti; bu platform, geliştiricilere açık yapay zeka modellerine erişim imkanı sunuyor. Fireworks, geçen ay kendi bünyesinde yaşanan ve hacker'ların faturalandırma kayıtları ile bazı özel yapay zeka veri setleri dahil müşteri bilgilerini çaldığı bir ihlali açıklamıştı. Çalışma alanı yazılımı şirketi Notion da verilerinin Fireworks saldırısında ele geçirildiğini ayrıca doğruladı.

Bir Uber sözcüsü TechCrunch'a yaptığı açıklamada, sürücü bildirimlerinin Uber verilerinin bir bölümünü barındıran Fireworks.ai tedarikçisindeki bir güvenlik olayıyla ilgili olduğunu söyledi ve diğer soruları tedarikçiye yönlendirdi. İki şirket de toplamda kaç kişinin etkilendiğini açıklamadı. TechCrunch, Fireworks'ün sorularını yanıtlamadığını ve Uber'in de genel bir rakam vermediğini belirtiyor.

Şu ana kadarki kısmi rakamlar

Eyalet bildirimleri yalnızca kabaca bir alt sınır sunuyor. TechCrunch'ın inceledigi ihlal bildirimlerine göre Massachusetts'te 2.567, Güney Karolina'da 3.430 ve Rhode Island'da 1.873 kişinin ehliyet bilgisi çalındı; yani yalnızca bu üç eyalette en az 7.870 kişi etkilenmiş durumda. Illinois'e yapılan bir bildirim, o eyalette yaşayanların etkilendiğini doğruluyor ancak sayının hâlâ belirlenmekte olduğunu belirtiyor; Uber ise Kaliforniya'daki sürücüleri sayı vermeden bilgilendirdi. TechCrunch, yeni bildirimler geldikçe toplam rakamın artmasını bekliyor.

Fail konusunda Fireworks, saldırıyı büyük dil modellerine erişim sağlayan çalınmış token'ları satmak isteyen, maddi motivasyonlu bir suç örgütüne bağladı. TechCrunch'a göre şu ana kadar hiçbir bilinen grup bu hırsızlığı üstlenmiş değil.

Uber'in bu yılki bilinen ikinci ihlali

TechCrunch'ın belirttiğine göre bu, Uber'in bu yıl bilinen ikinci veri ihlali. Şirket daha önce, kamyon lojistiği birimi Uber Freight'te yaşanan ve bir şantaj çetesinin veri çalma eylemini üstlendiği bir güvenlik olayı bildirmişti.

Neden önemli

Uber, kendi sistemlerine sızmaksızın compromize edilmiş görünüyor: Kapıyı açan kimlik bilgileri bir tedarikçiye aitti. Müşteri kayıtlarını dış tedarikçilerle paylaşan her kuruluş, o tedarikçinin güvenlik durumunu da üstlenmiş oluyor; buna karşın düzenleyiciler, etkilenen kişileri bilgilendirme yükümlülüğünün tedarikçide değil veri sahibinde olmasını bekliyor.

Ehliyet verileri, kimlik doğrulamada yaygın olarak kullanıldıkları için doğrudan kimlik hırsızlığı riski taşıyor; dolayısıyla bu olaya karışan bireyler, ilk aşifaya kıyasla çok daha geniş kapsamlı sonuçlarla karşı karşıya.

Olay ayrıca yapay zeka altyapısı sağlayıcılarının artık ihlal bildirimi ekonomisinin sağlam bir parçası olduğunu gösteriyor. Fireworks, açık modeller ile bunlar üzerine inşa eden şirketler arasında yer alıyor ve orada yaşanan tek bir olay, en az iki tanınmış müşteriye, Uber ve Notion'a kadar yayıldı. Daha fazla kuruluş hassas verileri yapay zeka platformlarından geçirdikçe, bu tür tedarik zinciri ihlallerinin yinelenen bir bildirim kategorisi haline gelmesi kaçınılmaz görünüyor.