Uber confirme une importante fuite de données personnelles après une cyberattaque ayant compromis son fournisseur d’intelligence artificielle Fireworks AI. Des pirates ont utilisé des identifiants dérobés pour accéder à des informations confidentielles de l’entreprise américaine, notamment des copies de permis de conduire, des noms, des adresses et des dates de naissance. Une déclaration déposée le 13 novembre 2026 auprès des autorités du Texas fait état de 149 346 personnes concernées aux États-Unis. Cette nouvelle affaire prend une dimension particulière : Fireworks AI est également le prestataire impliqué dans la récente fuite de conversations de Notion AI.
Fondé en 2009 à San Francisco, Uber est l’un des principaux groupes mondiaux de mobilité et de livraison. Présent dans plusieurs dizaines de pays, il exploite notamment les plateformes Uber et Uber Eats, mettant en relation des particuliers avec des chauffeurs, des livreurs et des commerçants. L’entreprise utilise également des technologies d’intelligence artificielle pour développer et exploiter certains services.
Près de 150 000 personnes concernées selon une déclaration américaine
Le 13 novembre 2026, plusieurs médias américains révèlent qu’Uber a commencé à informer des chauffeurs et livreurs après un accès frauduleux à leurs informations personnelles.
Les premières déclarations déposées auprès des autorités de plusieurs États permettent d’établir des chiffres précis :
- 3 430 personnes en Caroline du Sud ;
- 2 999 personnes dans l’Iowa, selon la notification adressée aux autorités ;
- 2 567 personnes dans le Massachusetts ;
- 1 873 personnes dans le Rhode Island ;
- 1 071 personnes dans le Vermont ;
- 4 296 personnes au Texas.
Mais un élément supplémentaire apparaît dans la déclaration enregistrée au Texas le 13 novembre : le bilan national déclaré atteint 149 346 personnes. Ce chiffre, nettement supérieur aux premiers bilans régionaux publiés, montre l’ampleur potentielle de la compromission.
Les notifications concernent des personnes ayant travaillé avec les plateformes Uber aux États-Unis. Aucune information ne permet actuellement d’affirmer que les clients passagers, les utilisateurs d’Uber Eats ou les utilisateurs européens sont concernés.
Des copies de permis de conduire et des informations d’identité compromises
La nature des informations exposées rend cette cyberattaque particulièrement sensible.
Dans une notification adressée aux autorités de l’Iowa le 10 novembre, Uber précise que les données accessibles aux attaquants comprenaient notamment des images de permis de conduire et des informations textuelles extraites de ces documents.
Les catégories d’informations concernées comprennent :
- Noms et prénoms ;
- Adresses postales ;
- Dates de naissance ;
- Numéros de permis de conduire ;
- Images de permis de conduire ;
- Autres informations issues de documents officiels d’identité, selon les déclarations réglementaires.
La présence de copies de permis est particulièrement préoccupante. Contrairement à une simple adresse email, un document officiel associe plusieurs informations permettant de vérifier ou d’usurper l’identité d’une personne.
Les documents concernés peuvent notamment servir à des démarches administratives ou à des procédures de vérification d’identité. Leur divulgation pourrait donc faciliter certaines tentatives de fraude documentaire ou d’usurpation d’identité.
Les catégories de données peuvent varier selon les personnes concernées. Rien ne permet d’affirmer que chacun des 149 346 individus déclarés possède l’ensemble de ces informations dans les fichiers compromis.
Le 7 octobre, les pirates utilisent les identifiants de Fireworks AI
L’origine de l’incident remonte au 7 octobre 2026. Selon les déclarations d’Uber, un individu non autorisé a exploité des identifiants informatiques compromis appartenant à son fournisseur technologique.
Le prestataire concerné est Fireworks AI, une entreprise américaine spécialisée dans l’infrastructure d’exécution et d’entraînement de modèles d’intelligence artificielle. Elle fournit aux entreprises des solutions permettant notamment d’exploiter des modèles de langage et de traiter des données.
Le 9 octobre, Fireworks informe Uber que des identifiants internes ont été compromis et utilisés pour accéder à des ressources associées à son compte.
Uber décide immédiatement de couper les connexions entre ses systèmes et le prestataire. Une enquête est engagée pour déterminer les informations auxquelles les attaquants ont pu accéder.
Le 13 octobre, les investigations confirment qu’un tiers non autorisé a effectivement accédé à des données personnelles appartenant à Uber, grâce aux identifiants compromis.
Les notifications officielles aux personnes concernées commencent ensuite le 10 novembre, soit plus d’un mois après la découverte de l’incident.
Un espace cloud dédié à l’IA accessible avec des identifiants légitimes
Les éléments transmis par Uber aux autorités de l’Iowa apportent une précision particulièrement intéressante sur le fonctionnement de l’attaque.
Les données compromises se trouvaient dans un environnement de stockage cloud mis en place par Uber pour les besoins de son prestataire.
Cet environnement était placé sous la supervision de l’équipe de sécurité cloud d’Uber et disposait de mécanismes de surveillance.
Pourtant, aucune alerte n’aurait été déclenchée lors de l’accès frauduleux. Les attaquants utilisaient des identifiants valides et des chemins d’accès déjà autorisés dans le cadre des échanges avec le fournisseur.
Ce scénario illustre une difficulté majeure de la sécurité informatique : lorsqu’un cybercriminel récupère les véritables identifiants d’un prestataire, ses activités peuvent ressembler à des opérations légitimes.
Uber précise que ces identifiants ne permettaient pas d’accéder à ses autres systèmes informatiques.
Aucune compromission générale de l’infrastructure interne d’Uber n’est donc établie. L’incident concerne un environnement et des accès associés à sa relation avec Fireworks AI.
Fireworks AI : le même fournisseur déjà impliqué dans la fuite de Notion
Cette nouvelle affaire révèle qu’Uber n’est pas la seule grande entreprise touchée par les incidents de sécurité de Fireworks AI.
Le fournisseur américain avait reconnu une première compromission le 6 octobre 2026, après avoir détecté une utilisation non autorisée d’identifiants internes.
Une seconde intrusion a ensuite été identifiée les 23 et 24 octobre, impliquant un fournisseur cloud hébergeant des machines de recherche et développement de Fireworks.
Le 9 novembre, l’entreprise a reconnu que les incidents avaient pu entraîner l’exposition de plusieurs catégories de données : informations de facturation, identifiants techniques, jeux de données clients et certains éléments de modèles d’intelligence artificielle.
Le cas de Notion est particulièrement révélateur. La plateforme collaborative a confirmé que des transcriptions de conversations avec Notion AI figuraient parmi les données compromises.
Cyberattaque.org avait détaillé cette affaire dans notre enquête Notion, révélant notamment comment une fonctionnalité d’analyse de l’utilisation de l’IA avait conduit à la conservation de conversations chez ce prestataire.
Notion avait annoncé que moins de 1 % de ses espaces de travail étaient concernés, sans préciser le nombre exact de conversations exposées.
Avec Uber, ce sont désormais des documents officiels d’identité qui apparaissent dans les conséquences de cette affaire. Aucun élément public ne permet toutefois d’affirmer que les données Uber proviennent du second épisode de compromission d’octobre.
Des cybercriminels intéressés par les accès aux modèles d’intelligence artificielle
Dans ses communications, Fireworks AI évoque des éléments reliant la campagne de compromission à des cybercriminels motivés financièrement et spécialisés dans le détournement de services d’intelligence artificielle.
Cette activité, appelée LLMJacking, consiste à utiliser ou revendre frauduleusement des accès à des modèles d’intelligence artificielle payants, notamment grâce à des clés API compromises.
Les attaquants peuvent ainsi exploiter des ressources de calcul financées par leurs victimes ou fournir clandestinement des services d’IA à d’autres utilisateurs.
Cette piste ne permet cependant pas d’attribuer formellement le vol des données Uber à un groupe identifié. Aucun groupe cybercriminel connu n’a publiquement revendiqué cette extraction.
Il n’est pas davantage établi que les documents d’identité compromis aient été mis en vente ou diffusés publiquement.
Une nouvelle fuite de permis de conduire après le précédent scandale d’Uber
Cette affaire rappelle un précédent particulièrement sensible dans l’histoire d’Uber.
En 2016, l’entreprise avait déjà subi une cyberattaque ayant entraîné le vol d’informations concernant environ 57 millions d’utilisateurs et de chauffeurs, dont les numéros de permis de conduire d’environ 600 000 chauffeurs américains.
Uber avait attendu novembre 2017 pour révéler publiquement cette compromission. L’affaire avait notamment débouché en 2018 sur un accord de 148 millions de dollars avec les autorités américaines.
Parmi les obligations de sécurité imposées à cette époque figuraient déjà des mesures relatives à la protection des données conservées sur les plateformes de prestataires externes.
Le rapprochement avec l’incident actuel est particulièrement frappant, même si les circonstances techniques des deux cyberattaques sont différentes.
Uber propose une surveillance d’identité aux personnes concernées
Uber confirme avoir engagé des démarches pour sécuriser les accès compromis. Les connexions avec Fireworks AI ont été interrompues et les identifiants associés au prestataire ont été supprimés ou renouvelés.
L’entreprise propose également aux personnes concernées des services gratuits de surveillance de crédit et d’assistance en cas de fraude à l’identité, par l’intermédiaire de Cyberscout, une société du groupe TransUnion.
Les destinataires disposent de 90 jours à compter de leur notification pour s’inscrire à ce dispositif.
Uber indique n’avoir identifié aucune utilisation frauduleuse des données compromises à ce stade. L’absence de fraude détectée ne permet toutefois pas d’exclure une exploitation ultérieure des informations.
Les personnes dont les documents d’identité ont été exposés pourraient notamment être visées par des tentatives d’usurpation d’identité, des demandes frauduleuses de financement ou des démarches utilisant de faux justificatifs.
Une cyberattaque qui révèle un risque majeur dans la chaîne de l’intelligence artificielle
Au 14 novembre 2026, la compromission de données personnelles associées à Uber est officiellement reconnue. Les déclarations réglementaires font état de 149 346 personnes concernées à l’échelle des États-Unis, avec notamment des permis de conduire parmi les informations exposées.
Plusieurs questions restent cependant ouvertes : pourquoi ces documents étaient-ils nécessaires dans l’environnement mis à disposition du fournisseur d’IA ? Combien de copies ont été récupérées ? Et quelles autres organisations pourraient encore découvrir que leurs données ont été compromises chez Fireworks ?
Les cas d’Uber et de Notion montrent surtout une même faiblesse : des informations particulièrement sensibles peuvent se retrouver accessibles chez des prestataires d’intelligence artificielle, parfois sans que les utilisateurs concernés aient connaissance de cette chaîne de traitement.
Pour les entreprises qui multiplient les intégrations avec des fournisseurs d’IA, cette cyberattaque rappelle qu’un seul accès compromis chez un prestataire peut suffire à exposer des informations confidentielles provenant de plusieurs organisations internationales.
Source originale : Cyberattaque.org.
