Brecha en Fireworks AI expone licencias de conducir de Uber

Las empresas tecnológicas invierten millones de dólares en blindar sus servidores centrales, contratar auditores internos y establecer controles estrictos sobre los datos personales de sus usuarios. Sin embargo, en el ecosistema actual de inteligencia artificial, la información confidencial rara vez permanece dentro de las paredes de una sola compañía; viaja constantemente hacia proveedores externos en la nube que procesan documentos, verifican identidades o entrenan modelos. Y como demuestra un nuevo incidente confirmado este viernes, una cadena de seguridad es tan fuerte como su eslabón más débil.

Este 13 de noviembre de 2026, Uber confirmó oficialmente que miles de sus conductores han visto comprometida su información personal, incluyendo los números de sus licencias de conducir, tras un ciberataque sufrido por un proveedor externo de infraestructura de inteligencia artificial: Fireworks AI. He revisado las notificaciones regulatorias presentadas por la compañía y los reportes técnicos del incidente para explicar exactamente qué ocurrió, qué alcance real tiene la filtración y qué medidas deben tomar los usuarios afectados para protegerse frente al robo de identidad.

Cómo ocurrió la intrusión en la cadena de suministro de IA

De acuerdo con la información confirmada por TechCrunch y ampliada por PCMag, los atacantes no vulneraron directamente los sistemas centrales de Uber. En su lugar, lograron infiltrarse durante el mes de octubre en las bases de datos de clientes de Fireworks AI, una plataforma en la nube especializada en el despliegue de modelos de inteligencia artificial que Uber utiliza como proveedor tecnológico.

A través de credenciales internas comprometidas en el entorno del proveedor, el grupo ciberdelincuente accedió a los repositorios donde se almacenaban registros procesados para sus clientes empresariales. Las notificaciones legales presentadas hasta el momento por Uber ante los fiscales generales de cuatro estados en Estados Unidos indican que cerca de 9.000 personas han resultado afectadas inicialmente por esta exposición, aunque el recuento definitivo podría variar conforme avancen las auditorías forenses en otras jurisdicciones.

La información sustraída incluye nombres completos y números de licencias de conducir, datos críticos que Uber recopila de forma obligatoria para verificar la identidad y habilitación legal de quienes operan vehículos en su plataforma.

Por qué el robo de licencias de conducir es un riesgo grave

A diferencia de una tarjeta de crédito, que puedes cancelar y reemplazar con una llamada telefónica en cinco minutos, un documento oficial de identidad o una licencia de conducir tiene una validez de varios años y está vinculado de forma permanente a tu historial legal y financiero.

Cuando los ciberdelincuentes obtienen una base de datos con nombres reales asociados a números de licencia oficiales,esa información se comercializa rápidamente en mercados clandestinos para ejecutar ataques secundarios:

• Suplantación de identidad en plataformas financieras: Los estafadores utilizan estos datos para superar procesos básicos de verificación de identidad (KYC) y abrir cuentas bancarias fraudulentas o solicitar microcréditos a nombre de la víctima.

• Ataques de ingeniería social personalizados: Al conocer el nombre exacto del conductor, su vínculo con Uber y el número de su documento oficial, los delincuentes pueden enviar correos electrónicos o mensajes SMS sumamente convincentes haciéndose pasar por el departamento de cumplimiento de la plataforma para robar contraseñas o vaciar las ganancias acumuladas en la aplicación.

Qué medidas tomar si recibes una notificación de brecha de datos

Uber ha comenzado a enviar notificaciones formales a los conductores afectados detallando el alcance de la exposición y ofreciendo servicios gratuitos de monitorización de crédito y protección contra el robo de identidad. Si trabajas como conductor en la plataforma —o si sospechas que tus documentos de identidad han estado involucrados en alguna brecha de terceros—, aplica estas medidas preventivas de inmediato:

1. Activa alertas de fraude y congelación de crédito: Si resides en regiones donde operan burós de crédito (como Estados Unidos o Reino Unido), solicita una congelación gratuita de tu historial crediticio (credit freeze) en las agencias principales. Esto impide que terceros abran líneas de crédito o préstamos utilizando tu número de licencia sin tu autorización expresa.

2. Desconfía de cualquier solicitud de verificación urgente: Ni Uber ni ninguna entidad bancaria te pedirán jamás que envíes fotografías adicionales de tu documento de identidad o códigos de acceso a través de enlaces recibidos por SMS o WhatsApp. Gestiona cualquier trámite exclusivamente dentro de la aplicación oficial para conductores.

3. Refuerza el acceso a tu cuenta de conductor: Asegúrate de tener activada la autenticación en dos pasos mediante aplicación autenticadora en tu perfil de Uber y utiliza una contraseña única que no hayas empleado en ningún otro servicio web.

Criterio editorial: El costo oculto de externalizar datos sensibles en la IA

Este incidente pone sobre la mesa uno de los mayores puntos ciegos de la actual fiebre corporativa por la inteligencia artificial. Para acelerar la automatización, las grandes empresas envían flujos masivos de documentos confidenciales —incluyendo identificaciones oficiales, contratos y registros médicos— hacia proveedores externos en la nube. Cada API de terceros conectada a una base de datos corporativa es una nueva puerta que debe ser vigilada. Si las empresas no exigen políticas estrictas de retención cero (borrar el documento inmediatamente después de procesarlo) a sus proveedores de IA,seguiremos viendo cómo los datos de los usuarios quedan expuestos en servidores ajenos.