Bei Uber sind die Führerscheindaten tausender Fahrer in falsche Hände geraten. Der Fahrdienst selbst war dafür nicht der Angriffspunkt. Die Täter nutzten gestohlene Zugangsdaten des KI-Anbieters Fireworks AI und kamen so an Daten, die Uber dort lagerte. Allein drei US-Bundesstaaten melden zusammen mindestens 7.870 Betroffene.[1]
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Uber hat diese Woche bei mehreren US-Generalstaatsanwälten Datenschutzmeldungen eingereicht, darunter in Kalifornien.[1] Stand ist Samstag, der 14. November: Wie viele Fahrer insgesamt betroffen sind, nennt das Unternehmen nicht.
Das Wichtigste in Kürze
- Uber informiert Fahrer über gestohlene Führerscheindaten und weitere personenbezogene Angaben.[1]
- Auslöser ist ein Einbruch bei Fireworks AI, einem Anbieter für KI-Modelle, bei dem Uber ein Konto hatte.[1]
- Massachusetts, South Carolina und Rhode Island nennen zusammen 7.870 Betroffene, die Gesamtzahl fehlt.[1]
- Betreiber sollten prüfen, welche Dienstleister dauerhaft Kundendaten oder Zugangsschlüssel halten.
Was wurde gestohlen und wie viele Fahrer sind betroffen?
Nach den Benachrichtigungen, die TechCrunch einsehen konnte, betrifft der Vorfall Führerscheindaten und weitere personenbezogene Angaben von Fahrern.[1] Massachusetts nennt 2.567 Betroffene, South Carolina 3.430 und Rhode Island 1.873. Aus Illinois und Kalifornien liegen keine Zahlen vor, die Summe der drei bekannten Staaten ist deshalb nur eine Untergrenze.[1]
Ein Uber-Sprecher sprach von „einem Sicherheitsvorfall bei einem unserer Drittanbieter, Fireworks.ai, der Zugriff auf einige Uber-Daten hatte“.[1] Laut Gizmodo hat Uber die Datenverbindungen zu dem Anbieter gekappt, bisher keinen Missbrauch festgestellt und bietet Kreditüberwachung über den Dienstleister Cyberscout an, die Fahrer binnen 90 Tagen nach Briefdatum aktivieren müssen.[2]
Wie kamen die Täter an Ubers Daten?
Nach Angaben von Uber warnte der Dienstleister am 9. Oktober, dass Angreifer interne Zugangsdaten gestohlen und damit auf Ubers Konto bei ihm zugegriffen hatten. Am 13. Oktober stellte Uber fest, dass dabei auch Daten von Fahrern abgerufen wurden.[2] Fireworks räumt „unbefugten Zugriff auf einige Systeme“ ein und beantwortete keine Detailfragen.[1]
Fireworks ordnet die Tat einer finanziell motivierten Gruppe zu, die Zugangsschlüssel zu Sprachmodellen stehlen und verkaufen will.[1] Dieses Vorgehen heißt „LLMjacking“.[2] Bekannt ist auch, dass Notion Daten bei Fireworks verloren hat.[1] Wofür Uber den Dienst nutzte, ist offen, beide Berichte nennen keinen Zweck.[2]
Der Mechanismus ist derselbe wie bei Expedia und TSMC: Nicht das Hauptunternehmen wird geknackt, sondern ein Anbieter, dem es Daten anvertraut hat. Fireworks hatte zuvor bereits den zweiten Hackerangriff binnen Wochen gemeldet. Uber meldet in diesem Jahr zudem einen früheren Vorfall: Im August beanspruchte eine Gruppe knapp eine Million Dateien der Frachtsparte Uber Freight, das Unternehmen bestätigte unbefugten Zugriff auf einzelne Systeme.[2]
Die Verantwortung für Fahrerdaten endet nicht an der Schnittstelle zum KI-Anbieter.
Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet der Fall für Unternehmen in der EU?
Ein Dienstleister, der personenbezogene Daten erhält, ist ein Auftragsverarbeiter nach Artikel 28 DSGVO. Die Verantwortung bleibt beim Auftraggeber. Meldet der Dienstleister eine Panne, läuft für Sie die 72-Stunden-Frist nach Artikel 33 ab dem Moment, in dem Sie davon erfahren. Bei hohem Risiko für die Betroffenen müssen Sie nach Artikel 34 auch die Personen selbst informieren. Führerscheinnummern gehören dazu, weil sie sich für Identitätsdiebstahl eignen.
Prüfen Sie zuerst, welche Anbieter von KI-Schnittstellen bis Cloud-Werkzeugen Kundendaten oder Zugangsschlüssel in eigenen Konten halten. Tauschen Sie Schlüssel aus, sobald ein Anbieter einen Vorfall meldet, ohne auf die Klärung des Umfangs zu warten. Und fragen Sie im Vertrag mit dem Anbieter nach Löschfristen und einer verbindlichen Meldezeit.
Betroffene Fahrer prüfen ihre Kontoauszüge und Kreditberichte in den nächsten Monaten genauer. Für jeden Dienst gehört ein eigenes Passwort in einen Passwortmanager, und weitere Grundlagen bündeln die Cybersecurity-Grundlagen.
Quellen
2 Quellen anzeigenQuellen ausblenden
- TechCrunch (Zack Whittaker)Uber confirms hackers stole thousands of drivers‘ license information in data breach
- Gizmodo (Bruce Gil)Uber Data Breach Exposes Thousands of Drivers Through AI Firm
Mehr Newshunger?
- Expedia bestätigt Cyberangriff über einen Dienstleister
- Einbruch bei Apify: Unbefugte sahen Konto- und Rechnungsdaten
- Fireworks AI meldet den zweiten Hackerangriff binnen Wochen
- TSMC bestätigt Datenabfluss bei einem Cloud-Dienstleister
- Oracle-Health-Datenleck: Angreifer erbeuteten Patientendaten von knapp 20 Millionen Menschen
- Wohin mit den Passwörtern des ganzen Teams?
