Uber、情報漏えい被害――ドライバーの運転免許証情報などが流出

米国の数千人のUberドライバーが、個人情報や運転免許証情報が盗まれたとの通知を受けています。流出は10月、Uberの記録を保管していたサードパーティーの技術プロバイダーであるFireworks AIで発生した情報漏えいによるものです。

Uberは、カリフォルニア州を含む複数の州司法長官に提出した漏えい通知で、今回のインシデントを公表しました。Cyber Security Newsの報道によると、Uberの広報担当者はTechCrunchに対し、関与したベンダーがFireworks AIであることを認めました。

Cybersecurity training courses

Uberは、全米での被害者数を明らかにしていません。これまでに確認された通知はドライバーに関するもので、ライダー（利用者）のアカウントが流出したことを示す記述はありません。

ベンダーの認証情報が盗まれ、侵入の突破口に

今回の攻撃では、Uber自身のシステムは侵害されていません。攻撃はベンダーを経由して行われました。

2026年10月9日、プロバイダーはUberに対し、第三者が同社の内部認証情報を不正に侵害したと伝えました。攻撃者はその認証情報を使い、個人記録が保管されていたUberのアカウントにアクセスしました。

Uberはプロバイダーとのデータ接続を遮断し、調査を開始しました。10月13日、調査によって攻撃者がUberのデータにアクセスしていたことが確認されました。その中には、現在通知を受けている人々の個人情報も含まれていました。

Uberの通知書の日付は11月10日で、最初の警告から約1か月が経過しています。Reutersの報道によると、カリフォルニア州への通知では、プロバイダー名も、流出したデータの内容も明記されていません。

Fireworks AIは先月、自社の情報漏えいを公表しています。このインシデントでは、ハッカーが請求データや一部の非公開AIデータセットを含む顧客情報を盗みました。この広範な窃取に、Uberのほかのデータが含まれていたかどうかは明らかになっていません。

現時点で、今回の攻撃について犯行声明を出したサイバー犯罪グループは確認されていません。

TechCrunchが確認した州への届出によると、被害が確認されたのは3州で計7,870人です。盗まれたデータには、運転免許証の詳細情報が含まれています。

実際の総数はこれより多いとみられます。Uberはほかの州にも通知を送付しており、届出が公開されるにつれて、数字はさらに増える見通しです。

2026年に確認されたUberの情報漏えいは、今回が2件目です。今年初めには、同社はUber Freight部門でセキュリティインシデントが発生したと報告しており、これについては恐喝グループが犯行を主張していました。

Cloud security solutions

Fireworks AIの侵害の影響は、ほかの企業にも及んでいます。Notionは、AIチャットの記録が流出した問題の背後に同じプロバイダーがいたと説明しました。この流出は、同社の顧客ワークスペースの1%未満に影響したとしています。

Uberは、通知書の発送時点で、盗まれた情報が悪用された形跡は確認されていないとしています。TransUnion傘下のCyberscoutを通じて、無料のクレジット監視と不正対応支援を提供しています。

通知書を受け取ったドライバーは、次の対応を取るべきです。

運転免許証番号は、本人確認を通過するのに役立つため、詐欺師にとって価値があります。パスワードと違い、免許証番号をすぐに変更することはできません。

PentestPad with AI to Automate Pentesting – The pentest reporting platform built for security teams -> Try for free

Cloud security solutions