要点
- Uber が、外部の技術委託先への侵入をきっかけに、運転手の個人情報と運転免許証の情報が盗まれたと通知している。
- Uber の広報は TechCrunch に、その委託先は AI 開発基盤の Fireworks.ai だと説明した。
- 米国の州ごとに示された被害者の人数は数千人規模だが、全体の人数は公表されていない。
何が起きたか
Uber は米国の複数の州の司法長官に、情報流出の届出を出した。カリフォルニア州の公開ページには、Uber Technologies の届出が載っている。侵害の日付は 2026 年 10 月 7 日とされている。
TechCrunch（2026 年 11 月 13 日付）によると、Uber は運転手に通知を送り、個人情報と運転免許証の情報が盗まれたと伝えている。Uber は、委託先から 10 月 9 日に侵害の連絡を受けたという。委託先の社内の認証情報が盗まれ、それで Uber のデータに入られたと説明しているとされる。
州ごとの被害者の人数は、TechCrunch によると次のとおり。マサチューセッツ州が 2,567 人、サウスカロライナ州が 3,430 人、ロードアイランド州が 1,873 人。イリノイ州とカリフォルニア州は人数が未公表だ。届出が増えれば、合計は増える見込みだと同誌は書いている。
委託先の名前は、TechCrunch が報じた。Uber の広報は同誌に、通知は「Fireworks.ai」という委託先の侵害に関するもので、同社が一部の Uber のデータにアクセスできたと答えている。そのうえで、詳しい質問は Fireworks に回した。Fireworks は同誌に答えていない。
Fireworks 自身も、10 月に自社が侵害を受けたと告知している。公式告知によると、10 月 6 日に不審な動きを見つけて封じ込めを始め、10 月 7 日に影響を受けた顧客への通知を始めた。評価ジョブの環境変数に入っていた API キー（サービスに入るための合い鍵）などの秘密情報が、一部の顧客アカウントで抜かれた可能性がある。The Record の報道では、その後の更新で、アカウントや請求の情報、データセットにも影響が及んだとされる。Fireworks は、調査会社の結論として、金銭目的の犯罪集団による攻撃だと説明している。
ここで大事なのは、Fireworks の告知の古い版には、個人情報への不正アクセスの証拠は見つかっていないと書かれていたことだ。後の更新で範囲は広がっている。免許証情報が Fireworks のどこにあったのかは、確かめられた資料では分からない。
日本の利用者への影響
今回の届出は米国の州に出たものだ。日本の運転手や利用者が対象かどうかは、確かめられた資料には書かれていない。
Uber は、対象人数の全体も公表していない。日本の人が含まれるかどうかは分からない。Uber から通知が届いたら、その内容を確認してほしい。
今すぐやること
- Uber からの通知メールや、アプリ内のお知らせを確認する。届いていなければ、現時点で行動は急がなくてよい。
- 通知を装った偽メールに注意する。リンクは踏まず、Uber のアプリや公式サイトから確認する。
- Uber のパスワードが他のサービスと同じなら、変更する。MFA（パスワードのほかにスマホでも本人確認する仕組み）も有効にする。
- 通知を受けた人は、免許証番号を悪用された形跡がないかを意識する。身に覚えのない契約や連絡があれば、発行元や警察に相談する。
- 会社で AI 基盤などの外部サービスを使っているなら、渡している鍵やデータの範囲を見直す。Fireworks は、影響を受けた顧客に鍵の再発行を勧めている。
背景
今回の話は、AI の外部サービスに本人確認書類のような重いデータを預けるリスクを示している。預ける側が堅くても、委託先が破られれば同じ被害になる。委託先の認証情報が盗まれると、顧客のデータまで届いてしまう。
Fireworks の侵害では、Notion も顧客データが影響を受けた可能性を認めている。The Record によると、Notion は 11 月 2 日に連絡を受け、11 月 6 日に影響の可能性を知らされた。AI 関連の業者は、顧客から多くの鍵やデータを預かる。そこが狙われやすい点は、今後も変わらない。
委託先に渡すデータは、最小限にし、不要になれば消すことが重要だ。
技術者向けの詳細
- Uber の届出: カリフォルニア州司法長官の公開ページ（sb24-632751）。侵害日は 2026-10-07。
- Fireworks の告知: 2026-10-06 に発見・封じ込め開始、10-07 に影響顧客への通知開始、10-09 に告知を公開、10-10 に追加の鍵を失効。
- 初版の告知では、一部の顧客アカウントで、評価ジョブの環境変数（API キー・トークン）に第三者がアクセスしたとされた。更新前の版では、プロンプトや出力、個人情報への不正アクセスの証拠は見つかっていないとされた。その後の更新で、アカウント・請求情報や追加の顧客データにも影響が及んだ。
- The Record によると、10 月 23〜24 日に、研究開発用マシンを載せた第三者のクラウドが侵害され、追加の顧客データに影響した。
- Fireworks が影響顧客に勧める対策: 新しい API キーの発行、サードパーティ認証情報の再発行（保存した秘密を消すだけでは無効にならない）、関連ログの確認、見覚えのない鍵・ユーザー・学習ジョブの確認。
- 不明点: Uber と Fireworks の関係の一次情報での確認、免許証データの保管場所、全体の人数。
- 犯人は金銭目的の集団とされる。TechCrunch によれば、データの窃取を自称した集団はない。
