Uber : une faille chez un fournisseur d'IA a exposé les permis de conduire des chauffeurs américains
- Uber informe des milliers de chauffeurs américains que leurs informations personnelles et leur permis de conduire ont été volés lors d’une brèche en octobre chez le fournisseur d’IA Fireworks AI, et non dans les systèmes propres d’Uber.
- Les avis confirmés concernent environ 7 870 chauffeurs dans trois États, tandis que les chiffres pour la Californie, l’Illinois et le total national restent incertains.
- Cette affaire met en lumière comment les prestataires externes sont devenus un point faible pour les grandes entreprises, même si la réponse d’Uber contraste avec sa brèche dissimulée en 2016.
Uber a commencé à contacter des milliers de chauffeurs à travers les États-Unis au sujet du récent incident de sécurité impliquant l’un de ses fournisseurs d’IA tiers. La brèche a potentiellement exposé les données personnelles des chauffeurs, y compris les détails de leur permis. L’entreprise a détaillé l’incident dans les avis envoyés aux chauffeurs le 10 novembre.
Comment Uber a appris que son fournisseur avait été compromis
Le prestataire a contacté Uber le 9 octobre 2026, après que des pirates ont obtenu des identifiants internes et les ont exploités pour accéder au compte d'Uber. Uber a indiqué avoir coupé la connexion de données immédiatement et lancé une enquête. Le 13 octobre, l'entreprise avait confirmé un accès non autorisé aux données personnelles des chauffeurs.
Uber a mis à disposition de ses utilisateurs une surveillance gratuite et une assistance en cas de fraude assurée par Cyberscout. À ce jour, aucun abus n'a été signalé.
L'avis adressé aux chauffeurs concernant l'incident est daté du 10 novembre, soit 28 jours après la vérification. Toutefois, cet intervalle entre la vérification et la notification des chauffeurs concernés ne constitue pas nécessairement une violation des obligations de déclaration.
Le prestataire est Fireworks AI, selon TechCrunch
Le fournisseur concerné était Fireworks AI, une entreprise qui donne aux développeurs accès à des modèles d'IA, selon TechCrunch. Uber a également confirmé à la publication que Fireworks détenait certaines de ses données.
À ce jour, les chiffres signalés montrent 7 870 personnes affectées dans trois États : 3 430 en Caroline du Sud, 2 567 au Massachusetts et 1 873 dans le Rhode Island. Le South Carolina Department of Consumer Affairs confirme indépendamment le décompte de son État.
Cependant, l'étendue exacte de la violation reste incertaine. La Californie et l'Illinois n'ont pas communiqué leurs chiffres, ce qui signifie que le total de 7 870 personnes ne couvre que les trois États ayant publié des comptes. Le nombre national de chauffeurs affectés demeure inconnu.
Un vol d'identifiants lié au « LLMJacking »
Dans son bulletin du 9 novembre, Fireworks a annoncé que la violation était plus grave qu'un simple vol d'identifiants. Les informations de compte et de facturation ont été accessibles. Certains clients ont vu leurs secrets, jeux de données et modèles d'IA inachevés être consultés. Fireworks a précisé que les numéros de cartes de paiement n'étaient pas concernés.
L'entreprise a également révélé une autre violation. Le 23 octobre, un fournisseur de services cloud hébergeant les systèmes Fireworks a été victime d'une attaque. Les pirates ont utilisé leur accès à ce service cloud le jour suivant pour obtenir davantage d'informations sur les clients. Fireworks n'a signalé aucune autre violation réussie après le 25 octobre.
Fireworks a lié les attaques à LLMJacking, un schéma basé sur l'accès volé aux modèles d'IA. Dans une affaire séparée, Google et Mandiant ont révélé que l'utilisation non autorisée de l'IA avait engendré des coûts de plus de 100 000 dollars en seulement une journée. Cependant, ces dépenses ne sont pas associées à Uber.
Pourquoi cette violation n'est pas la couverture médiatique 2016
Uber a déjà été victime d'une importante violation de données, mais sa réponse a été différente. En 2018, le procureur général de Californie a annoncé un règlement de 148 millions de dollars concernant une violation dissimulée en 2016 qui a affecté 57 millions de personnes. Les enquêteurs ont indiqué qu'Uber avait payé les pirates 100 000 dollars pour garder le silence et n'a pas informé plus de 174 000 chauffeurs californiens.
Cette fois, Uber indique avoir déconnecté immédiatement le fournisseur concerné, informé les chauffeurs et proposé une surveillance de crédit. Jusqu'à présent, les divulgations publiques ne montrent aucune preuve d'une telle dissimulation.
Le risque tiers constitue désormais l'exposition principale
La dernière violation de données d'Uber met en lumière une préoccupation grandissante : les entreprises peuvent perdre des informations sensibles via des fournisseurs dont elles dépendent. Le Forum Économique Mondial a révélé que 65 % des grandes entreprises considéraient les vulnérabilités tierces et celles de la chaîne d'approvisionnement comme leur principal défi de cyberrésilience, en hausse par rapport aux 54 % enregistrés en 2025.
Parallèlement, IBM a estimé le coût moyen mondial d'une violation à 4,99 millions de dollars. Verizon a examiné plus de 22 000 violations confirmées dans 145 pays. Ces chiffres reflètent des risques plus larges en matière de cybersécurité, et non les pertes réelles d'Uber.
Cryptopolitan avait précédemment signalé un incident similaire de compromission d’un outil tiers basé sur l’IA impliquant Vercel. Pour Uber, trois questions demeurent : combien de chauffeurs ont été touchés à l’échelle nationale ? quelles informations spécifiques ont été exposées ? quels garde-fous régissaient l’accès de Fireworks aux données d’Uber ? L’avis public de l’entreprise laisse ces questions sans réponse.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Comment les pirates ont-ils obtenu les données des chauffeurs Uber ?
Les attaquants ont volu des identifiants internes chez le fournisseur d'Uber, Fireworks AI, et s'en sont servis pour accéder au compte d'Uber auprès du prestataire ; Uber a été alerté le 9 octobre 2026 et a confirmé le 13 octobre que des données personnelles avaient été consultées.
Combien de chauffeurs Uber ont été touchés ?
Les avis confirmés couvrent environ 7 870 chauffeurs dans le Massachusetts (2 567), en Caroline du Sud (3 430) et à Rhode Island (1 873), les chiffres pour l'Illinois et la Californie n'étant pas communiqués et aucun total national n'étant encore disponible.
S'agit-il de la même violation de données que celle de 2016 d'Uber ?
Non. La violation de données de 2016 a exposé 57 millions d'utilisateurs et a conduit à un règlement de 148 millions de dollars en 2018 après qu'Uber l'a dissimulée, tandis que dans l'affaire actuelle, Uber affirme avoir coupé le lien avec le fournisseur, notifier les chauffeurs et proposer une surveillance gratuite des crédits.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Ibiam Wayas
Ibiam Wayas couvre l'actualité des cryptomonnaies depuis 2019. Il a étudié l'informatique à l'Université ouverte du Nigeria. Ses travaux ont été publiés sur diverses plateformes d'actualités cryptographiques, dont Coinfomania, Crypto News Australia et AltcoinBuzz. Fort de son background en informatique, il se concentre désormais sur les actualités liées aux cryptomonnaies, à la robotique et à la longévité.
