UBER, AI 공급업체 해킹으로 미국 운전자 면허 정보 유출

우버는 최근 자사의 제3자 AI 공급업체 중 하나와 관련된 보안 사고로 인해 운전자의 개인 데이터, 특히 운전면허증 세부 사항이 노출될 위험이 있었음을 알리기 위해 미국 전역의 수천 명 운전자들에게 연락하기 시작했습니다. 회사는 해당 사고에 대해 운전자들에게 발송된 통지문을 통해 변경했습니다. 10.

우버가 어떻게 벤더의 침해 사실을 알게 되었는지

공급자는 2026년 10월 9일 해커들이 내부 자격 증명을 획득하고 이를 악용하여 우버 계정에 접근한 후 우버에 연락했습니다. 우버는 즉시 데이터 연결을 차단하고 조사를 시작했다고 밝혔습니다. 10월 13일까지 회사는 운전자의 개인 데이터에 대한 무단 접근이 확인되었습니다.

우버는 사용자에게 사이버스카우트(Cyberscout)로부터 무료 모니터링 및 사기 지원 서비스를 제공했습니다. 지금까지는 오남용 사례가 보고되지 않았습니다.

운전자에게 발송된 사고 관련 통지서는 11월 10일자이며, 이는 확인 작업 이후 28일이 지났음을 의미합니다. 그러나 확인과 영향 받은 운전자에 대한 통지 사이의 간격이 반드시 보고 위반을 의미하는 것은 아닙니다.

공급자는 파이어워크스 AI입니다. 테크크런치가 보도했습니다.

해당 피해 제공업체는 개발자에게 AI 모델 접근 권한을 제공하는 기업인 Fireworks AI로, TechCrunch에 따르면 Uber도 이 매체에 Fireworks가 일부 데이터를 보유하고 있다고 확인했다.

현재까지 보고된 수치에 따르면 3개 주에서 총 7,870명의 피해자가 발생했으며, 사우스캐롤라이나주 3,430명, 매사추세츠주 2,567명, 로드아일랜드주 1,873명이다. 사우스캐롤라이나주 소비자보호부도 해당 주의 집계 수치를 자체적으로 확인했다.

하지만 침해의 전체 규모는 여전히 불분명합니다. 캘리포니아주와 일리노이주는 아직 통계를 공개하지 않았으므로, 7,870명의 총계는 집계된 세 주에 한정됩니다. 전국적으로 영향을 받은 운전자 수는 아직 알 수 없습니다.

‘LLMJacking’과 관련된 자격증 탈취 사건

Fireworks는 11월 9일 공지문에서 이번 침해 사고가 단순한 자격증명 도난보다 더 심각했다고 발표했다. 계정 및 청구 정보가 유출되었으며, 일부 고객의 시크릿 키, 데이터세트, 미완성 AI 모델이 접근당했다. Fireworks는 결제 카드 번호는 영향을 받지 않았다고 명시했다.

회사는 또 다른 데이터 유출 사건도 공개했다. 10월 23일, Fireworks 시스템을 호스팅하던 클라우드 서비스 제공업체가 공격을 받았다. 해커들은 이튿날 해당 클라우드 서비스에 대한 접근 권한을 이용해 추가적인 고객 정보를 탈취했다. Fireworks는 10월 25일 이후 추가로 성공적인 침해 사고가 보고되지 않았다고 밝혔다.

Fireworks는 공격을 AI 모델에 대한 불법 접근을 기반으로 한 LLMJacking와 연결지었다. 별도의 사례에서 구글과 맨디언트는 무단 AI 사용으로 단 하루 만에 10만 달러 이상의 비용이 발생했다고 밝혔다. 그러나 이러한 비용은 Uber와는 관련이 없다.

이 침해 사건이 2016 은폐 시도가 아닌 이유

우버는 과거에 대규모 데이터 유출 사고를 겪은 바 있지만, 당시 대응 방식은 달랐습니다. 2018년 캘리포니아주 법무장관은 발표한 대로, 5700만 명의 정보가 유출된 2016년 해킹 사건을 은폐한 것과 관련해 1억 4800만 달러의 합의금을 지불했습니다. 조사 결과에 따르면 우버는 해커들에게 침묵을 조건으로 10만 달러를 지급했으며, 17만 4000명 이상의 캘리포니아 주 운전자에게 이 사실을 알리지 않았습니다.

이번에는 우버가 영향 받은 제공업체를 즉시 차단하고, 운전자에게 통지하며 신용 모니터링 서비스를 제공했다고 밝혔다. 지금까지 공개된 정보에 따르면 유사한 은폐 시도의 증거는 발견되지 않았다.

제3자 리스크가 이제 더 큰 노출 요인이 되다

우버의 최근 유출 사고는 한 가지 심각한 문제를 드러냅니다. 기업은 의존하는 외부 벤더를 통해 민감한 정보를 손실할 수 있다는 점입니다. 세계경제포럼(WEF)에 따르면, 대기업의 65%가 제3자 및 공급망 취약성을 가장 큰 사이버 복원력 과제로 꼽았으며, 이는 2025년의 54%에서 증가한 수치입니다.

한편, IBM은 전 세계 평균 데이터 유출 비용을 499만 달러로 추정했습니다. Verizon은 145개국에서 확인된 22,000건 이상의 유출 사례를 분석했습니다. 이러한 수치는 우버의 실제 손실을 반영하는 것이 아니라, 더 광범위한 사이버 보안 위험을 보여줍니다.

Cryptopolitan previously reported a similar third-party AI-tool compromise involving Vercel. For Uber, three questions remain: How many drivers were affected nationwide? What specific information was exposed? What safeguards controlled Fireworks’ access to Uber data? The company’s public notice leaves these questions unanswered.