Uber ड्राइवर डेटा ब्रीच: चोरी हुए AI सप्लायर लॉगिन ने कैसे पहचान से जुड़े रिकॉर्ड उजागर किए

Uber ने अपने ड्राइवरों का डेटा अपने खुद के नेटवर्क में किसी खामी की वजह से नहीं गंवाया। इसने इसे किसी अन्य के पास मौजूद चाबी के जरिए खोया। हमलावरों ने ड्राइविंग लाइसेंस विवरण सहित व्यक्तिगत रिकॉर्ड्स तक पहुँचने के लिए एक टेक्नोलॉजी सप्लायर के चोरी हुए लॉगिन क्रेडेंशियल्स का उपयोग किया।

आज 15 नवंबर, 2026 है, और Uber प्रभावित ड्राइवरों को ब्रीच से जुड़े पत्र भेज रहा है। सप्लायर, Fireworks AI, एक AI सेवा प्रदाता है, यही वजह है कि यह मामला Uber से कहीं आगे तक मायने रखता है। कई कंपनियाँ अब अपने डेटा को बाहरी AI सेवाओं से जोड़ती हैं, और बहुत कम कंपनियों ने यह जाँचा है कि यदि उनके खुद के लॉगिन चोरी हो जाते हैं तो वे सेवाएँ किस हद तक डेटा तक पहुँच सकती हैं।

कदम-दर-कदम क्या हुआ

California के अटॉर्नी जनरल के पास दर्ज की गई Uber की अधिसूचना के अनुसार, टाइमलाइन इस प्रकार है:

1. 6 अक्टूबर: Fireworks ने अपने आंतरिक क्रेडेंशियल्स के अनधिकृत उपयोग का पता लगाया।
2. 7 अक्टूबर: California के ब्रीच रजिस्टर में दर्ज ब्रीच की तारीख।
3. 9 अक्टूबर: Fireworks ने Uber को बताया कि किसी अनधिकृत पक्ष ने प्रदाता के साथ Uber के खाते तक पहुँचने के लिए उन क्रेडेंशियल्स का उपयोग किया था।
4. Uber का कहना है कि उसने तुरंत सप्लायर के साथ अपने डेटा कनेक्शन काट दिए और जाँच शुरू कर दी।
5. 13 अक्टूबर: जाँचकर्ताओं ने पुष्टि की कि क्रेडेंशियल्स का उपयोग Uber की जानकारी तक पहुँचने के लिए किया गया था, जिसमें उन लोगों के व्यक्तिगत रिकॉर्ड शामिल थे जिन्हें अब सूचित किया जा रहा है।
6. 10 नवंबर: Uber के अधिसूचना पत्र पर दर्ज तारीख।

मुख्य बात यह है कि हमलावर कहाँ से अंदर घुसे: सप्लायर की पहुँच के जरिए, न कि Uber के अपने मुख्य दरवाजे से। खुलासे से यह नहीं पता चलता कि हमलावर Uber के व्यापक कॉर्पोरेट नेटवर्क में घुस गए थे या उन्हें इसकी सेवाओं तक अप्रतिबंधित पहुँच प्राप्त थी।

कितने लोग प्रभावित हुए?

आंकड़े अभी भी बदल रहे हैं, इसलिए उन्हें ध्यान से पढ़ें।

• शुरुआती राज्य फाइलिंग में दर्ज थे 2,567 Massachusetts में लोग, 3,430 South Carolina में और 1,873 Rhode Island में। यह 7,870 तीन राज्यों में लोग हैं, राष्ट्रीय कुल नहीं।
• ब्रीच ट्रैकर BreachTally पर एक नया रिकॉर्ड, जिसमें 13 नवंबर की Texas अटॉर्नी जनरल फाइलिंग का हवाला दिया गया है, दर्ज करता है 149,346 कुल प्रभावित लोग, जिनमें शामिल हैं 4,296 Texas में। एक अन्य ट्रैकर, DisclosureLens, यही आंकड़े दिखाता है।

दोनों ट्रैकर शामिल डेटा में नाम, पते, जन्म तिथियाँ, ड्राइविंग लाइसेंस नंबर और सरकारी आईडी नंबर सूचीबद्ध करते हैं। हालाँकि, Texas पोर्टल से मूल Uber प्रविष्टि स्वतंत्र रूप से प्राप्त नहीं की जा सकी, इसलिए बड़ी संख्या को ट्रैकर्स द्वारा रिपोर्ट की गई संख्या के रूप में देखें, न कि Uber के किसी पुष्ट बयान के रूप में। इसके अलावा, किसी फाइलिंग में डेटा प्रकारों की सूची का मतलब यह नहीं है कि हर व्यक्ति ने हर प्रकार का डेटा खोया है।

चोरी हुए सीक्रेट्स बनाम चोरी हुआ डेटा

Fireworks के पहले सुरक्षा बुलेटिन में कहा गया था कि हमलावरों ने उजागर किए environment variables सीमित संख्या में ग्राहक खातों के लिए evaluation jobs में। Environment variables वे सेटिंग्स होती हैं जिन्हें कोई प्रोग्राम शुरू होते समय पढ़ता है, और वे अक्सर रखते हैं secrets जैसे कि API keys और tokens, जो अन्य प्रणालियों के लिए पासवर्ड की तरह काम करते हैं।

उस स्तर पर Fireworks ने कहा कि उसने अपनी सुरक्षा सीमा के भीतर ग्राहकों की व्यक्तिगत जानकारी, मॉडल, डेटासेट या इन्फरेंस ट्रैफिक तक अनधिकृत पहुँच नहीं देखी है। यह बात आश्वस्त करने वाली लगती है, लेकिन एक मुख्य बिंदु से चूक जाती है। चोरी हुई चाबी सिर्फ डेटा नहीं होती। यह उस हर चीज़ के अंदर जाने का रास्ता होती है जिसे वह चाबी अनलॉक करती है। इसलिए एक जाँच को दो सवाल पूछने होते हैं: हमलावर ने क्या लिया, और उन चाबियों ने उन्हें फिर किस चीज़ तक पहुँचने दिया?

Fireworks ने प्रभावित ग्राहकों को उजागर हुए क्रेडेंशियल्स को उन्हें जारी करने वाले के माध्यम से रोटेट करने और हाल की गतिविधि की जाँच करने के लिए कहा। इसने यह चेतावनी भी दी कि किसी संग्रहीत secret को हटाना उसे रद्द नहीं करता। चाबी तब तक काम करती रहती है जब तक जारीकर्ता इसे रद्द नहीं कर देता।

एक दूसरी, अलग घुसपैठ

Fireworks के 9 नवंबर के अपडेट ने तस्वीर को और व्यापक कर दिया। इसमें सीमित संख्या में खातों के लिए खाता और बिलिंग जानकारी, secrets, डेटासेट और अधूरे मॉडल्स पर प्रभाव पड़ने की सूचना दी गई।

इसमें एक अलग घटना का भी विवरण दिया गया। 23 अक्टूबर को, Fireworks के अनुसंधान और विकास (R&D) मशीनों को होस्ट करने वाले एक क्लाउड प्रदाता की अपनी सुरक्षा से जुड़ी घटना हुई। अगले दिन हमलावर उन मशीनों तक पहुँच गए और उन्होंने एक अनधिकृत वर्कलोड चलाया, जिससे ग्राहक डेटा पर और अधिक प्रभाव पड़ा।

यह घटना तब हुई जब Uber को पहले ही सूचित किया जा चुका था और उसने डेटा एक्सपोज़र की पुष्टि कर दी थी, इसलिए यह Uber की मूल टाइमलाइन की व्याख्या नहीं कर सकती। सार्वजनिक खुलासे यह भी नहीं दिखाते हैं कि हर Fireworks ग्राहक पर एक ही तरह से असर पड़ा था। Fireworks ने कहा कि वह Palo Alto Networks Unit 42 के साथ मिलकर काम कर रहा था, उसने क्रेडेंशियल नियंत्रण सख्त कर दिए थे, नेटवर्क एक्सेस को सीमित कर दिया था, निगरानी में सुधार किया था और कुछ सेल्फ-सर्विस डेटासेट अपलोड और डाउनलोड को अस्थायी रूप से बंद कर दिया था।

इसके पीछे का पैसा: LLMjacking

Fireworks ने इस गतिविधि को उन अपराधियों से जोड़ा जो बड़े भाषा मॉडल तक चोरी की गई पहुँच से मुनाफा कमाने की कोशिश कर रहे थे, एक ऐसी प्रथा जिसे कहा जाता है LLMjacking। इसे किसी की बिजली चुराने जैसा समझें, सिवाय इसके कि यहाँ बिजली की जगह महंगी AI कंप्यूटिंग है।

Google Threat Intelligence Group और Mandiant की 2 नवंबर की रिपोर्ट इस बाज़ार का वर्णन करती है। अपराधी वैध क्रेडेंशियल्स एकत्र करते हैं या उजागर मॉडल सेवाओं को खोजते हैं, फिर उस कंप्यूटिंग शक्ति को अवैध गेटवे के माध्यम से दोबारा बेचते हैं जो कई चोरी हुए खातों में अनुरोधों (requests) को फैलाते हैं। असली खाताधारक को बिल मिलता है। Mandiant ने एक ही दिन में 00,000 से अधिक के धोखाधड़ी वाले शुल्कों और कुछ संगठनों में एक्सेस काटे जाने से पहले कुल मिलियन तक के मामलों की सूचना दी। ये आंकड़े अन्य जाँचों से आए हैं, Uber से नहीं।

वही शोध कहता है कि हमलावर, एक बार अंदर पहुँचने के बाद, और अधिक क्रेडेंशियल्स के लिए कोड रिपॉजिटरी, क्लाउड वातावरण और डेटा स्टोर की तलाशी लेते हैं। यही कारण है कि मुफ्त AI कंप्यूटिंग के उद्देश्य से किया गया हमला भी व्यक्तिगत डेटा के उजागर होने के साथ समाप्त हो सकता है। यह साबित नहीं करता कि Uber के खिलाफ किन तरीकों का इस्तेमाल किया गया था; अधिसूचना में केवल समझौता किए गए सप्लायर क्रेडेंशियल्स का नाम दिया गया है।

ड्राइवरों को अब क्या करना चाहिए

रोहित एक राइड-हेलिंग सेवा के लिए गाड़ी चलाता है और उसे ब्रीच का पत्र मिलता है। कोई अधिसूचना पहचान की चोरी (identity theft) का सबूत नहीं है, लेकिन यह कार्रवाई करने का एक अच्छा कारण है। यहाँ एक समझदारी भरी योजना दी गई है।

चरण 1: अपने पत्र को ध्यान से पढ़ें

जाँचें कि पत्र में आपके लिए किस प्रकार का डेटा शामिल होने की बात कही गई है। आपके अगले कदम उसी पर निर्भर करते हैं।

चरण 2: मुफ्त निगरानी के लिए नामांकन करें

Uber एक TransUnion कंपनी, Cyberscout के माध्यम से मुफ्त क्रेडिट निगरानी और धोखाधड़ी सहायता प्रदान करता है। आपको पत्र मिलने के 90 दिनों के भीतर नामांकन करना होगा। प्रकाशित टेम्पलेट में यह नहीं बताया गया है कि निगरानी कितने समय तक चलती है, इसलिए अपना नोटिस देखें।

चरण 3: जानें कि निगरानी क्या नहीं कर सकती

California का मार्गदर्शन बताता है कि क्रेडिट निगरानी आपकी क्रेडिट फ़ाइल में कुछ परिवर्तनों का पता लगाती है। यह हर तरह की धोखाधड़ी को नहीं पकड़ती, जैसे कि किसी मौजूदा भुगतान खाते का दुरुपयोग। अपने बैंक और कार्ड विवरणों की स्वयं जाँच करते रहें।

चरण 4: अपने लाइसेंस और आईडी विवरण को सुरक्षित रखें

California के जिन निवासियों को अपने लाइसेंस विवरण के दुरुपयोग का संदेह है, उन्हें राज्य की ड्राइविंग लाइसेंस धोखाधड़ी इकाई से संपर्क करने का निर्देश दिया गया है। अन्य जगहों पर, अपने लाइसेंसिंग प्राधिकरण से संपर्क करें।

चरण 5: यदि कुछ गड़बड़ होती है तो आधिकारिक सहायता का उपयोग करें

Federal Trade Commission लोगों को उजागर डेटा से मेल खाने वाले कदमों के लिए, और दुरुपयोग पाए जाने पर रिपोर्टिंग तथा सुधार के लिए IdentityTheft.gov पर जाने का निर्देश देता है।

चरण 6: धोखाधड़ी वाले संदेशों से सावधान रहें

अपराधी अक्सर ब्रीच के बाद फर्जी "अपना खाता सत्यापित करें" संदेश भेजते हैं। कंपनी से केवल उसके आधिकारिक ऐप या वेबसाइट के माध्यम से ही संपर्क करें।

कंपनियों को क्या सीखना चाहिए

Uber ने कहा कि लिखते समय तक उसे प्राप्तकर्ताओं की जानकारी का दुरुपयोग नहीं मिला था। फिर भी, अनसुलझे सवाल बने हुए हैं: पहचान की जानकारी सप्लायर के माध्यम से क्यों पहुँचाने योग्य थी, किन अनुमतियों ने इसकी अनुमति दी और वे कितने समय तक अस्तित्व में रहीं। किसी AI सप्लायर के शामिल होने का यह भी मतलब नहीं है कि दस्तावेजों का इस्तेमाल मॉडल को प्रशिक्षित करने के लिए किया गया था, या किसी मॉडल के कारण यह ब्रीच हुआ था।

AI सेवाओं का उपयोग करने वाली किसी भी कंपनी के लिए व्यावहारिक सबक यह है कि सप्लायर समीक्षाओं में केवल मॉडल ही नहीं, बल्कि क्रेडेंशियल्स, संग्रहीत डेटासेट, विकास मशीनें और जुड़े हुए सिस्टम भी शामिल होने चाहिए। आपके प्रॉम्प्ट्स को न रखने का वादा जोखिम के केवल एक छोटे से हिस्से को ही कवर करता है।

निष्कर्ष

Uber ड्राइवर ब्रीच मुख्य रूप से सप्लायर-एक्सेस की कहानी है और AI की कहानी बाद में। किसी तीसरे पक्ष के यहाँ चोरी हुई चाबी संवेदनशील पहचान डेटा तक पहुँच गई, एक्सपोज़र का वास्तविक आकार अभी भी अस्पष्ट है, और हमलावरों का मकसद चोरी की गई AI कंप्यूटिंग प्रतीत होता है। ड्राइवरों को अपने पत्र पढ़ने चाहिए और दी गई सहायता का उपयोग करना चाहिए। कंपनियों को यह सटीक रूप से मैप करना चाहिए कि प्रत्येक सप्लायर के क्रेडेंशियल्स कहाँ तक पहुँच सकते हैं, और जो आवश्यक नहीं है उसे हटा देना चाहिए।

सकारात्मक पहलू

• सूचना मिलते ही Uber ने सप्लायर के साथ अपने कनेक्शन तुरंत काट दिए।
• प्राप्तकर्ताओं को मुफ्त क्रेडिट निगरानी और धोखाधड़ी सहायता की पेशकश की गई है।
• Fireworks ने बुलेटिन और उजागर कुंजियों को रोटेट करने की स्पष्ट सलाह प्रकाशित की।
• यह मामला सुरक्षा टीमों को सप्लायर की पहुँच की समीक्षा करने का एक ठोस कारण देता है।
• LLMjacking पर सार्वजनिक रिपोर्टिंग कंपनियों को असामान्य AI उपयोग बिलों का समय रहते पता लगाने में मदद करती है।

नकारात्मक पहलू

• तीसरे पक्ष के कनेक्शन के माध्यम से संवेदनशील पहचान डेटा तक पहुँचा जा सकता था।
• प्रभावित लोगों की संख्या विभिन्न स्रोतों के बीच काफी भिन्न है और पूरी तरह से सत्यापित नहीं है।
• क्रेडिट निगरानी हर तरह की धोखाधड़ी को नहीं पकड़ती।
• Fireworks की दो अलग-अलग घटनाएँ टाइमलाइन को गलत समझना आसान बना देती हैं।
• Uber के डेटा तक कैसे पहुँचा गया, इसके प्रमुख तकनीकी विवरण सार्वजनिक नहीं हैं।

सावधानी

यह लेख शैक्षणिक उद्देश्यों के लिए है। उदाहरण स्वरूप लिया गया व्यक्ति रोहित किसी भी प्रभावित ड्राइवर के लिए एक प्लेसहोल्डर है, और कदमों को आपके अपने नोटिस तथा स्थान के अनुसार मिलाया जाना चाहिए। यहाँ दिए गए तथ्य लिखते समय रिपोर्ट की गई सार्वजनिक अधिसूचनाओं, कंपनी बुलेटिनों और तीसरे पक्ष के ट्रैकर्स का सारांश प्रस्तुत करते हैं, और प्रभावित लोगों की बड़ी कुल संख्या सहित कुछ आंकड़े स्वतंत्र रूप से पुष्ट नहीं किए गए हैं। विवरणों पर भरोसा करने से पहले आधिकारिक नोटिसों और अधिकारियों से उनका सत्यापन करें।

अक्सर पूछे जाने वाले प्रश्न

• Uber ड्राइवर डेटा ब्रीच में क्या हुआ? — हमलावरों ने Uber डेटा तक पहुँचने के लिए Uber के AI सप्लायर, Fireworks AI के समझौता किए गए क्रेडेंशियल्स का इस्तेमाल किया, जिसमें ड्राइवरों के व्यक्तिगत रिकॉर्ड भी शामिल थे।
• कितने Uber ड्राइवर प्रभावित हुए? — शुरुआती राज्य फाइलिंग में तीन राज्यों के 7,870 लोग शामिल थे, जबकि Texas फाइलिंग का हवाला देने वाले ट्रैकर्स 149,346 की सूची देते हैं, यह एक ऐसा आंकड़ा है जिसकी अभी तक स्वतंत्र रूप से पुष्टि नहीं हुई है।
• Uber ब्रीच में कौन सा डेटा उजागर हुआ? — फाइलिंग और ट्रैकर्स में नाम, पते, जन्म तिथियाँ, ड्राइविंग लाइसेंस नंबर और सरकारी आईडी नंबर सूचीबद्ध हैं, हालांकि हर व्यक्ति का हर फ़ील्ड उजागर नहीं हुआ था।
• क्या Uber का अपना नेटवर्क हैक हुआ था? — खुलासों में सप्लायर के खाते के माध्यम से पहुँच का वर्णन किया गया है, न कि Uber के व्यापक कॉर्पोरेट नेटवर्क के साथ किसी समझौते का।
• LLMjacking क्या है? — यह बड़े भाषा मॉडल (large language model) सेवाओं तक पहुँच की चोरी और पुनर्विक्रय है, जिससे वास्तविक खाताधारक को कंप्यूटिंग बिल का भुगतान करना पड़ता है।
• प्रभावित ड्राइवरों को क्या करना चाहिए? — नोटिस पढ़ें, 90 दिनों के भीतर मुफ्त Cyberscout निगरानी में नामांकन करें, बैंक विवरणों पर नज़र रखें और यदि दुरुपयोग दिखाई दे तो IdentityTheft.gov का उपयोग करें।
• क्या किसी उजागर हुई API key को हटाना इसे सुरक्षित बनाता है? — नहीं, किसी संग्रहीत सीक्रेट को हटाने से वह रद्द नहीं होता; जारीकर्ता को उस कुंजी को रद्द या रोटेट करना होगा।
• क्या ड्राइवरों के दस्तावेज़ों का उपयोग AI मॉडल को प्रशिक्षित करने के लिए किया गया था? — सार्वजनिक खुलासों में ऐसा कुछ भी नहीं दिखता; केवल सप्लायर की संलिप्तता से यह सिद्ध नहीं होता।

टैग्स

#databreach #uber #cybersecurity #thirdpartyrisk #supplychainsecurity #llmjacking #identitytheft #aisecurity #credentialsecurity #privacy