Uber称数千名司机驾照信息在数据提供商Fireworks AI遭入侵事件中被盗

美国网约车巨头Uber11月13日确认，黑客在10月入侵其一家技术提供商期间，窃取了数千名司机的个人与驾照信息。Uber已经开始向受影响的司机寄送通知信，并向多个州的总检察长提交了事件备案。

涉事的提供商是人工智能初创公司Fireworks AI。这家公司为开发者提供开放人工智能模型的接入服务，其自身在10月披露遭到入侵。Uber发言人向媒体证实，本次事件涉及的正是Fireworks AI，该公司掌握着部分Uber数据。

根据已经公开的州级备案，至少7870名司机受到影响，分布在马萨诸塞州、南卡罗来纳州与罗得岛州。Uber没有公布全国受影响的总人数，加州与伊利诺伊州的受影响人数也尚未公开，预计总数还会上升。

这起事件再次暴露了大型平台对第三方供应商的依赖风险。司机的数据并不存放在Uber自己的系统里，而是存放在一家人工智能供应商的服务器上。当供应商的凭证被盗时，司机的驾照信息也随之落入黑客手中。

事件经过

根据Uber向加州总检察长提交的备案，事件的时间线始于10月9日。当天，Fireworks AI通知Uber，其内部凭证遭到入侵。黑客利用这些凭证，访问了Uber在该提供商处的账户与数据。

Uber随即切断了与这家提供商的数据连接，并展开调查。10月13日，调查确认黑客确实访问了Uber的数据，其中包括司机的个人信息。Uber表示，调查确认后，公司立即启动了通知程序。

11月10日，Uber开始向受影响的司机寄送书面通知，并向多个州的总检察长提交备案。通知信的日期为11月10日，距离提供商首次发出警报已经过去约一个月。加州的备案文件没有点名提供商，也没有列出涉及的数据字段。

根据科技媒体TechCrunch查阅的备案文件，被盗数据包括司机的驾照信息。具体数字为：马萨诸塞州2567人、南卡罗来纳州3430人、罗得岛州1873人，三州合计至少7870人。伊利诺伊州的备案将受影响人数列为待定，加州的备案则没有提供总数。

Fireworks AI自身在10月披露遭到入侵，称黑客窃取了客户账户与账单信息，以及部分私有人工智能数据集。生产力应用Notion也确认，其部分客户数据在同一事件中被盗，包括人工智能聊天记录。

加州总检察长网站公布的备案文件显示，这起事件的日期为2026年10月7日，报告日期为11月10日。文件没有点名提供商，也没有列出涉及的数据字段。与之相比，TechCrunch查阅的其他州备案则明确列出了受影响人数与驾照信息。

据报道，Fireworks AI在10月遭遇了两次入侵。第一次入侵窃取了客户信息，包括账单数据与部分私有人工智能数据集；第二次入侵则波及了Uber等客户的数据。公司在10月首次披露事件，但直到本周才更新了涉及Uber的细节。

Uber在通知信中提供了Cyberscout信用监控服务的注册方式，收信人可以在信件日期起90天内免费注册。Cyberscout是TransUnion旗下的防欺诈服务，提供信用监控与身份盗窃协助。Uber表示，尚未发现被盗信息遭到滥用的迹象，但建议司机保持警惕。

Fireworks AI本周早些时候更新了事件说明，称黑客通过其云服务提供商入侵系统。公司表示已经报警，并与网络安全公司Palo Alto Networks旗下的Unit 42合作进行取证调查，调查仍在继续。

各方反应

Uber发言人向媒体表示，相关通知信涉及的是第三方供应商Fireworks AI的安全事件，该供应商掌握着部分Uber数据。Uber没有说明为何司机的数据会存放在这家人工智能供应商处，也没有说明乘客数据是否受到影响。

Uber表示，截至通知发出时，公司尚未发现被盗信息遭到滥用的迹象。公司正在为受影响的司机提供免费的信用监控与防欺诈协助，服务由Cyberscout提供，收信人可以在信件日期起90天内注册。

Fireworks AI表示，攻击者是一个以牟利为目的的网络犯罪团伙，其手法被称为大语言模型劫持，也就是窃取访问大语言模型的凭证并转售牟利。目前没有已知的犯罪团伙出面认领这次攻击，归因结论来自Fireworks AI自身。

网络安全专家指出，这起事件凸显了供应链攻击的危害。黑客不需要直接攻破Uber的系统，只需要攻破一家掌握Uber数据的供应商，就能拿到数千人的敏感信息。驾照信息一旦泄露，可能被用于身份盗窃，风险不容忽视。

值得注意的是，Uber的通知对象目前全部是司机，没有任何信息显示从未开过车的乘客受到影响。不过Uber没有公布全国受影响司机的总数，也没有说明除了驾照信息之外是否还有其他字段被盗，收到通知的司机应当仔细阅读自己的信件。

背景影响

Fireworks AI是一家为开发者提供开放人工智能模型接入服务的初创公司。近年来，随着人工智能应用的爆发，这类基础设施公司的客户数量迅速增长，掌握的数据也越来越多，成为黑客眼中有价值的目标。

所谓大语言模型劫持，是近年来出现的一种新型网络犯罪手法。攻击者窃取用于调用大语言模型的访问令牌，再把这些令牌卖给他人使用，从中牟利。由于人工智能调用按量计费，被盗的令牌可以直接变现，黑市需求旺盛。

对Uber而言，这起事件的麻烦不止于通知司机。根据美国各州的数据泄露通报法律，公司必须在规定时间内向监管部门与受影响个人通报事件。多个州的备案意味着公司将面临多地监管部门的关注，后续可能还有进一步的调查。

对司机来说，最实际的问题是防范身份盗窃。Uber提供的免费信用监控可以在一定程度上帮助司机及时发现异常，但专家建议，收到通知的司机应当密切关注自己的信用报告与银行账户，警惕任何可疑活动。

这起事件的影响范围超出了Uber一家。生产力应用Notion也确认，其部分客户数据在同一事件中被盗，包括人工智能聊天记录。多家使用Fireworks AI服务的公司都受到了波及。

对收到通知的司机来说，最实际的问题是防范身份盗窃。驾照号码、姓名与地址等信息一旦组合使用，可能被用于开设虚假账户。Uber提供的免费信用监控可以在一定程度上帮助司机及时发现异常，但无法完全消除风险。

供应链攻击近年来呈上升趋势。黑客不再只盯着大型平台本身，而是寻找其供应商链条中最薄弱的环节。一家小型供应商的安全漏洞，可能让成千上万家大公司的用户数据暴露。这种攻击方式成本低、收益高，防范难度很大。

根据美国各州的数据泄露通报法律，企业在发现数据泄露后，必须在规定时间内通知监管部门与受影响个人。不同州的时限与要求各不相同，跨州运营的公司往往需要同时向多个州提交备案。这也是Uber的备案文件出现在多个州的原因。

随着人工智能应用的爆发，为开发者提供模型接入服务的基础设施公司掌握的数据越来越多。这些公司通常规模不大，但客户包括大型科技企业与初创公司。一旦遭到入侵，影响可能波及整个客户群，Fireworks AI事件就是最新的例子。

这不是Uber第一次遭遇数据泄露。2016年，Uber曾发生大规模数据泄露事件，涉及5700万名乘客与司机的信息，公司随后支付了1.48亿美元与监管部门和解。这次事件的规模虽然小得多，但再次提醒外界，平台对用户数据的保护责任不容忽视。

截至目前，没有已知的犯罪团伙出面认领这次攻击。Fireworks AI表示，攻击者以牟利为目的，手法是窃取大语言模型的访问令牌并转售。公司已经报警，并与网络安全公司合作进行取证，调查结果尚未公布。

权威一手来源

本文依据科技媒体TechCrunch的报道、Uber向州总检察长提交的备案文件、Fireworks AI的公开说明以及相关媒体的公开报道整理。受影响人数以各州备案文件为准，全国总数请以Uber官方最新公布为准。

核验日期：2026年11月14日

免责声明

本文内容基于公开报道整理，仅供参考，不构成任何投资或决策建议。事件调查仍在进行中，细节请以官方最新公布为准。

想第一时间了解美国科技与生活的最新动态，欢迎关注美国通官方微信号UUUMGT，我们会持续带来经过核实的一手消息。