Uber, binlerce sürücünün ehliyet bilgilerinin çalındığını doğruladı: kaynak, tedarikçisi Fireworks AI'daki ihlal
Uber, ABD'de birkaç eyalet başsavcılığına yaptığı bildirimlerde bir teknoloji sağlayıcısındaki ihlalde sürücülerin kişisel ve ehliyet bilgilerinin çalındığını açıkladı. TechCrunch'a göre sağlayıcı Fireworks AI; üç eyalette bildirilen kişi sayısı 7.870.
Uber, binlerce sürücüsüne kişisel bilgilerinin ve ehliyet bilgilerinin çalındığını bildirmeye başladı. Şirketin bu hafta aralarında California'nın da bulunduğu birkaç ABD eyalet başsavcılığına sunduğu bildirimlere göre olay, Uber'in kendi sistemlerinde değil, verilerini işleyen bir teknoloji sağlayıcısında yaşandı. Sağlayıcı 9 Ekim'de Uber'e, saldırganların sistemlerine girip iç kimlik bilgilerini çaldığını ve bunlarla Uber verisine eriştiğini haber verdi.
TechCrunch, sağlayıcının açık modellere erişim hizmeti veren Fireworks AI olduğunu yazdı. Bir Uber sözcüsü de bildirimlerin, "bazı Uber verilerine erişimi olan" Fireworks AI'daki güvenlik olayıyla ilgili olduğunu doğruladı ve diğer soruları Fireworks'e yönlendirdi.
Kaç kişi etkilendi?
Uber toplam sayıyı açıklamadı. TechCrunch'ın gördüğü eyalet bildirimlerindeki rakamlar şöyle:
- Massachusetts: 2.567 kişi
- South Carolina: 3.430 kişi
- Rhode Island: 1.873 kişi
Illinois'e yapılan bildirimde eyalet sakinlerinin ehliyet bilgilerinin çalındığı belirtiliyor, ancak sayı "beklemede" olarak geçiyor. California'daki sürücülere de bildirim yapıldı; orada da sayı verilmedi. Yani açıklanan 7.870 kişi yalnızca üç eyaletin toplamı ve gerçek sayı daha yüksek olabilir.
Fireworks AI ihlalinin üçüncü halkası
Fireworks AI geçen ay, saldırganların müşterilerine ait fatura verilerini ve bazı özel AI veri kümelerini çaldığı bir ihlal bildirmişti. Şirket olayı, büyük dil modellerine erişim sağlayan token'ları çalıp satmayı amaçlayan, finansal güdümlü bir suç grubuna bağlıyor. Sitemizde bu olayın üçüncü taraf bulut ve LLMjacking boyutunu ve Notion'ın kendi verilerinin de çalındığını doğrulamasını daha önce yazmıştık.
Fireworks sözcüsü TechCrunch'a, bazı sistemlere yetkisiz erişim içeren ve müşteri verilerini etkileyen bir güvenlik sorunu tespit ettiklerini söyledi, ancak olayın ayrıntılarına ilişkin soruları yanıtlamadı. TechCrunch, bunun Uber'in bu yıl bilinen ikinci veri ihlali olduğunu, ilkinin Uber Freight biriminde yaşandığını da hatırlatıyor.
Neden önemli?
Olay, bir AI altyapı sağlayıcısına gönderilen verinin kapsamının ne kadar geniş olabileceğini gösteriyor: model çıkarımı için kullanılan bir serviste kimlik belgesi düzeyinde kişisel veri bulunabiliyor. Uber, ehliyet bilgilerinin Fireworks'te hangi amaçla tutulduğunu açıklamadı.
Ne yapılmalı?
- AI ve LLM sağlayıcılarınıza hangi verilerin gittiğini envanterleyin; kimlik belgesi, ehliyet ve benzeri alanların gerçekten gerekli olup olmadığını sorgulayın.
- Sağlayıcı sözleşmelerinde ihlal bildirim süresi, veri saklama süresi ve silme yükümlülüklerini kontrol edin.
- Sağlayıcıya verilen API anahtarlarını ve servis hesaplarını ihlal duyurusunun ardından yenileyin; anahtarların kullanım kayıtlarını olağan dışı tüketim açısından inceleyin.
- Kişisel veriyi üçüncü tarafa göndermeden önce maskeleme ya da token'lama seçeneklerini değerlendirin.
- Türkiye'deki veri sorumluları için: yurt dışındaki bir veri işleyende yaşanan ihlal de KVKK kapsamında bildirim yükümlülüğü doğurabilir; süreç sahibini önceden belirleyin.
