Uber, üçüncü taraf hizmet sağlayıcısında yaşanan siber saldırı nedeniyle binlerce sürücüsünün kişisel bilgilerinin ve ehliyet verilerinin çalındığını doğruladı. Şirketin bu hafta ilgili makamlara sunduğu bildirimlere göre saldırganlar, hizmet sağlayıcının çalışanlarına ait giriş bilgilerini ele geçirerek Uber sistemlerine erişim sağladı. Veri ihlalinden Massachusetts, Güney Carolina, Rhode Island, Illinois ve Kaliforniya’daki sürücüler etkilenirken yolcuların bilgilerinin çalınıp çalınmadığı henüz açıklanmadı.
Uber Veri İhlali Üçüncü Taraf Sağlayıcı Üzerinden Gerçekleşti
Uber’in açıklamalarına göre saldırganlar, şirketin birlikte çalıştığı teknoloji sağlayıcılarından birinin sistemlerine yetkisiz erişim sağladı. Siber saldırganlar, sağlayıcının çalışanlarına ait oturum açma bilgilerini ele geçirdikten sonra bu bilgileri Uber’in sistemlerine ve verilerine ulaşmak için kullandı.
TechCrunch’ın incelediği veri ihlali bildirimlerinde söz konusu hizmet sağlayıcısının Fireworks AI olduğu belirtildi. Açık kaynaklı yapay zekâ modellerini çalıştırmak, ince ayar yapmak ve ölçeklendirmek için geliştiricilere altyapı sunan Fireworks AI, Uber verilerinin bir bölümüne erişim yetkisine sahipti.
Uber sözcüsü, sürücülere gönderilen bildirimlerin Fireworks AI’ı etkileyen bir güvenlik olayından kaynaklandığını doğruladı. Şirket, üçüncü taraf sağlayıcının bazı Uber verilerine erişimi bulunduğunu ve olayın ardından etkilenen sürücüleri bilgilendirmeye başladığını açıkladı.
Fireworks AI sözcüsü de TechCrunch’a yaptığı açıklamada, sistemlerine yetkisiz erişim içeren bir güvenlik sorunu tespit ettiklerini doğruladı. Şirket, olayın müşteri verilerini etkilediğini kabul etti ancak saldırının ayrıntılarına ilişkin yöneltilen bazı soruları yanıtsız bıraktı.
TechCrunch’ın tespit ettiği resmî veri ihlali bildirimleri, saldırıdan etkilenen sürücülerin sayısına ilişkin eyalet bazında bilgiler içeriyor. Çalınan veriler arasında sürücü belgelerine ait bilgiler de bulunuyor.
- Massachusetts eyaletinde 2.567 kişinin ehliyet bilgileri çalındı.
- Güney Carolina’da 3.430 sürücünün bilgileri ihlalden etkilendi.
- Rhode Island’da 1.873 kişinin ehliyet verileri ele geçirildi.
- Illinois eyaletine sunulan bildirimde bazı sakinlerin sürücü belgesi bilgilerinin çalındığı belirtildi ancak kesin sayı açıklanmadı.
- Kaliforniya’da yaşayan sürücülere de bildirim gönderildi ancak etkilenen kişi sayısı paylaşılmadı.
Açıklanan rakamlar, yalnızca Massachusetts, Güney Carolina ve Rhode Island’da toplam 7.870 kişinin ehliyet bilgilerinin çalındığını gösteriyor. Illinois ve Kaliforniya’daki etkilenen sürücülerin sayısı ise henüz bilinmiyor.
Uber, veri ihlalinin yolcuları etkileyip etkilemediğine ilişkin de bilgi vermedi. Şirket, kaç yolcunun kişisel verilerinin açığa çıkmış olabileceğini henüz açıklamadı. Saldırıyı gerçekleştiren herhangi bir siber suç grubu da olayın sorumluluğunu üstlenmedi.
Uber saldırısında adı geçen Fireworks AI, daha önce de müşteri bilgilerini etkileyen bir veri ihlaliyle gündeme gelmişti. Şirketin önceki olayında saldırganlar, müşterilere ait faturalandırma bilgileri ile bazı özel yapay zekâ veri kümelerini ele geçirmişti.
İki olayın aynı saldırganlar tarafından gerçekleştirilip gerçekleştirilmediğine ilişkin herhangi bir bilgi paylaşılmadı. Ancak Fireworks AI üzerinden gerçekleşen son güvenlik olayı, şirketlerin üçüncü taraf teknoloji sağlayıcılarına verdiği erişim yetkilerinin oluşturabileceği riskleri yeniden gündeme taşıdı.
Uber, 2026 yılında ikinci kez önemli bir güvenlik olayıyla karşı karşıya kaldı. Şirketin Ağustos ayında yaptığı açıklamaya göre Helix adlı şantaj grubu, sosyal mühendislik yöntemleri kullanarak Uber Freight bünyesindeki nakliye ve lojistik biriminden veri çalmıştı.
Son olay ise doğrudan Uber’in üçüncü taraf teknoloji sağlayıcısı üzerinden gerçekleşti. Saldırganların Fireworks AI çalışanlarının giriş bilgilerini ele geçirmesi, dış hizmet sağlayıcılarının erişim yetkilerinin şirketlerin genel veri güvenliği açısından taşıdığı önemi ortaya koydu. Uber’in etkilenen sürücüleri bilgilendirme süreci devam ederken yolculara ilişkin olası veri kaybının kapsamı henüz netleşmedi.
