Ataque hacker contra a Uber vaza carteira de motorista e dados de milhares de condutores

Em um cenário digital em que a corrida pela inteligência artificial leva corporações a integrar rapidamente dezenas de ferramentas externas em seus ecossistemas, as vulnerabilidades na cadeia de suprimentos tornaram-se o calcanhar de Aquiles das grandes empresas de tecnologia. A Uber começou a notificar formalmente milhares de motoristas parceiros após um grave incidente cibernético envolvendo a Fireworks AI, uma importante provedora de infraestrutura de inteligência artificial em nuvem utilizada pela gigante do transporte por aplicativo.

A brecha de segurança permitiu que cibercriminosos interceptassem credenciais privilegiadas de acesso aos sistemas da fornecedora terceirizada, viabilizando a extração não autorizada de cópias e dados cadastrais de carteiras de habilitação (CNH/driver‘s licenses) de condutores cadastrados na plataforma.

A anatomia do ataque: como a Fireworks AI foi invadida

De acordo com relatórios de segurança e notificações enviadas aos órgãos reguladores e procuradorias-gerais, o incidente teve origem nos servidores de desenvolvimento da Fireworks AI. Os invasores conseguiram roubar chaves de autenticação de alto nível, permitindo que navegassem por bases de dados de clientes corporativos que utilizavam seus serviços de computação para alimentar modelos de linguagem e automações.

Com as chaves em mãos, os atacantes acessaram ambientes vinculados à Uber que continham registros de validação de documentos exigidos durante o processo de credenciamento dos motoristas. Entre os dados expostos constam:
* Nomes completos e números de identificação pessoal;
* Números de registro da carteira de habilitação;
* Históricos de verificação veicular e registros de cadastro.

O mesmo ataque à infraestrutura da Fireworks AI já havia provocado repercussões em outras gigantes do setor de tecnologia, como o Notion, que também identificou acessos indevidos a históricos de consultas de seu assistente Notion AI semanas atrás.

Resposta da Uber e o perigo do roubo de identidade

Assim que os alertas de anomalia foram confirmados pelas equipes de resposta a incidentes, a Uber revogou imediatamente todas as chaves de API e credenciais ativas conectadas à Fireworks AI, isolando completamente o fluxo de dados entre as plataformas. A empresa também acionou autoridades policiais e abriu uma auditoria forense detalhada para rastrear a extensão exata dos registros copiados.

Para mitigar os riscos aos motoristas afetados — que ficam vulneráveis a tentativas de fraude bancária, abertura indevida de contas e golpes de engenharia social —, a companhia passou a fornecer gratuitamente serviços especializados de monitoramento de crédito e proteção contra roubo de identidade por um período de dois anos, além de canais de suporte para contestação de fraudes.

O episódio acende um alerta vermelho em toda a indústria de tecnologia: mesmo quando uma multinacional investe centenas de milhões de dólares em defesas cibernéticas internas, a contratação ágil de startups de inteligência artificial e prestadores terceirizados pode abrir portas dos fundos extremamente perigosas para os dados dos usuários.