Uber đã thông báo cho hàng nghìn tài xế tại Mỹ về nguy cơ lộ dữ liệu cá nhân, bao gồm thông tin giấy phép lái xe, sau sự cố bảo mật tại nhà cung cấp AI bên thứ ba. Số người bị ảnh hưởng được công bố tại ba bang là 7.870.
Quy mô ảnh hưởng trên toàn nước Mỹ vẫn chưa rõ. Uber cho biết đã ngắt kết nối dữ liệu với nhà cung cấp và triển khai điều tra; hiện chưa có báo cáo về việc dữ liệu bị sử dụng sai mục đích.
- Thống kê tại South Carolina, Massachusetts và Rhode Island chưa phản ánh đầy đủ số tài xế bị ảnh hưởng trên toàn quốc.
- Fireworks AI ghi nhận truy cập trái phép vào nhiều loại dữ liệu khách hàng, nhưng cho biết số thẻ thanh toán không bị ảnh hưởng.
- Uber đã thông báo và cung cấp hỗ trợ giám sát tín dụng; chưa có bằng chứng công khai về hành vi che giấu tương tự vụ năm 2016.
Bao nhiêu tài xế Uber bị ảnh hưởng?
Số người bị ảnh hưởng được công bố tại ba bang của Mỹ là 7.870. California và Illinois chưa công bố số liệu, nên chưa thể xác định tổng số tài xế Uber bị ảnh hưởng trên toàn quốc.
Uber mô tả nguy cơ lộ dữ liệu cá nhân, bao gồm thông tin giấy phép lái xe, trong thông báo gửi tài xế ngày 10/11. Danh mục cụ thể và đầy đủ của dữ liệu bị lộ vẫn chưa rõ.
| Bang | Số người bị ảnh hưởng đã công bố |
|---|---|
| South Carolina | 3.430 |
| Massachusetts | 2.567 |
| Rhode Island | 1.873 |
| Tổng ba bang | 7.870 |
| California và Illinois | Chưa công bố |
Sở Bảo vệ người tiêu dùng South Carolina xác nhận số người bị ảnh hưởng tại bang này. Các thống kê hiện có chỉ bao quát những bang đã công bố số liệu.
Uber phát hiện và xử lý sự cố như thế nào?
Uber cho biết đã ngắt kết nối dữ liệu ngay khi nhà cung cấp thông báo sự cố và mở cuộc điều tra. Công ty sau đó xác nhận có truy cập trái phép vào dữ liệu cá nhân của tài xế.
Nhà cung cấp thông báo rằng tin tặc đã lấy được thông tin xác thực nội bộ rồi sử dụng chúng để truy cập tài khoản của Uber. Các mốc phát hiện, xác minh và thông báo được ghi nhận như sau:
| Thời điểm | Diễn biến |
|---|---|
| 9/10/2026 | Nhà cung cấp báo cho Uber về sự cố; Uber cho biết đã ngắt kết nối dữ liệu và mở điều tra ngay. |
| 13/10 | Uber xác nhận dữ liệu cá nhân của tài xế đã bị truy cập trái phép. |
| 10/11 | Ngày ghi trên thông báo gửi tài xế, cách thời điểm xác minh 28 ngày. |
Khoảng thời gian giữa xác minh và thông báo chưa đủ để kết luận Uber vi phạm nghĩa vụ báo cáo. Uber cung cấp dịch vụ giám sát tín dụng và hỗ trợ xử lý gian lận miễn phí qua Cyberscout; hiện chưa có báo cáo về việc dữ liệu bị sử dụng sai mục đích.
Fireworks AI công bố phạm vi truy cập vượt ngoài thông tin đăng nhập
Fireworks AI cho biết tin tặc đã truy cập thông tin tài khoản và thanh toán, cùng một số dữ liệu nhạy cảm của khách hàng. Công ty khẳng định số thẻ thanh toán không bị ảnh hưởng.
Uber xác nhận với TechCrunch rằng Fireworks AI lưu giữ một phần dữ liệu của công ty. Fireworks AI là nhà cung cấp dịch vụ cho phép các nhà phát triển truy cập mô hình AI.
Trong bản tin bảo mật ngày 9/11, Fireworks AI cho biết một số khách hàng còn bị truy cập vào thông tin bí mật, bộ dữ liệu và mô hình AI đang phát triển. Chưa rõ những nhóm dữ liệu này có bao gồm dữ liệu của Uber hay không.
| Thời điểm | Diễn biến do Fireworks AI công bố |
|---|---|
| 23/10 | Nhà cung cấp dịch vụ đám mây lưu trữ hệ thống của Fireworks AI bị tấn công. |
| 24/10 | Tin tặc sử dụng quyền truy cập dịch vụ đám mây để lấy thêm thông tin khách hàng. |
| Sau 25/10 | Fireworks AI cho biết không ghi nhận thêm cuộc xâm nhập thành công. |
Fireworks AI liên hệ các cuộc tấn công với LLMJacking, hình thức đánh cắp quyền truy cập để sử dụng mô hình AI trái phép. Trong một vụ riêng biệt, Google và Mandiant ghi nhận chi phí sử dụng AI trái phép vượt 100.000 USD trong một ngày. Khoản chi phí này không liên quan đến Uber.
Phản ứng hiện tại khác vụ che giấu dữ liệu năm 2016
Các công bố hiện tại chưa cho thấy bằng chứng Uber che giấu sự cố tương tự vụ năm 2016. Uber cho biết đã ngắt kết nối nhà cung cấp, thông báo cho tài xế và cung cấp hỗ trợ giám sát tín dụng.
Vụ việc trước đây dẫn đến thỏa thuận dàn xếp được Tổng chưởng lý California công bố năm 2018. Theo kết quả điều tra khi đó, Uber đã trả tiền để tin tặc giữ im lặng và không thông báo cho nhiều tài xế tại California.
| Nội dung liên quan vụ năm 2016 | Số liệu |
|---|---|
| Số người bị ảnh hưởng | 57 triệu |
| Khoản tiền trả cho tin tặc để giữ im lặng | 100.000 USD |
| Tài xế California không được thông báo | Hơn 174.000 |
| Giá trị thỏa thuận dàn xếp công bố năm 2018 | 148 triệu USD |
Rủi ro từ nhà cung cấp và những chi tiết còn thiếu
Sự cố Uber cho thấy dữ liệu nhạy cảm có thể bị truy cập qua nhà cung cấp dịch vụ. Tổng số tài xế bị ảnh hưởng, danh mục dữ liệu bị lộ và cơ chế kiểm soát quyền truy cập của Fireworks AI vẫn chưa được làm rõ đầy đủ.
Các báo cáo an ninh mạng cũng ghi nhận rủi ro từ bên thứ ba và chi phí của sự cố dữ liệu. Những số liệu dưới đây phản ánh tình hình chung, không phải thiệt hại thực tế của Uber.
| Báo cáo | Chỉ số | Số liệu |
|---|---|---|
| Báo cáo an ninh mạng toàn cầu của Diễn đàn Kinh tế Thế giới | Tỷ lệ doanh nghiệp lớn coi lỗ hổng từ bên thứ ba và chuỗi cung ứng là thách thức lớn nhất đối với khả năng chống chịu trước rủi ro mạng | 65% trong năm 2026, tăng từ 54% năm 2025 |
| Báo cáo chi phí vi phạm dữ liệu của IBM | Chi phí trung bình toàn cầu của một vụ vi phạm dữ liệu | 4,99 triệu USD |
| Báo cáo điều tra vi phạm dữ liệu của Verizon | Phạm vi các vụ vi phạm đã được xác nhận trong nghiên cứu | Hơn 22.000 vụ tại 145 quốc gia |
Tổng kết
Vụ truy cập trái phép qua Fireworks AI đã khiến dữ liệu cá nhân của hàng nghìn tài xế Uber có nguy cơ bị lộ, nhưng quy mô toàn quốc vẫn chưa rõ. Uber đã thông báo và cung cấp hỗ trợ; các chi tiết còn thiếu chủ yếu liên quan đến phạm vi dữ liệu bị ảnh hưởng và quyền truy cập của nhà cung cấp.
