Data Pribadi Ribuan Pengemudi Uber Dicuri dalam Peretasan Fireworks.ai

Telset.id – Data pribadi dan surat izin mengemudi ribuan pengemudi Uber dicuri setelah penyedia layanan AI pihak ketiga, Fireworks.ai, diretas pada 9 Oktober 2026. Uber mengungkap insiden ini dalam dokumen resmi yang diajukan kepada sejumlah jaksa agung negara bagian, sebagaimana dikutip Engadget, Sabtu (14/11/2026). Peretasan ini menjadi pukulan bagi Uber karena data sensitif pengemudi terekspos bukan akibat kelalaian sistem internal mereka, melainkan melalui celah keamanan mitra penyedia teknologi AI yang bekerja sama dengan perusahaan.

Dalam dokumen tersebut, Uber menjelaskan bahwa salah satu penyedia layanannya menjadi korban peretasan. Pelaku berhasil mencuri kredensial internal, yang kemudian digunakan untuk mengakses data Uber yang terhubung dengan penyedia tersebut. Uber kepada TechCrunch menyebut vendor pihak ketiga yang terlibat adalah Fireworks.ai, platform cloud yang memberi klien akses ke model AI open-source.

Fireworks.ai mengakui mengalami pelanggaran data pada bulan lalu dan insiden tersebut telah mengompromikan data klien-kliennya. Perusahaan mengaitkan peretasan dengan pelaku yang tergabung dalam kelompok kriminal siber. Kelompok ini dikenal menjual token curian yang digunakan untuk mengakses large language model (LLM).

Dampak Peretasan pada Pengemudi Uber

Hingga kini, belum jelas apakah informasi yang dicuri juga dijual atau bocor secara online. Kedua perusahaan, baik Uber maupun Fireworks.ai, tidak mengungkap berapa jumlah total pengemudi yang terdampak. Namun menurut laporan TechCrunch, surat izin mengemudi milik 3.430 orang dari South Carolina, 2.567 orang di Massachusetts, dan 1.873 orang di Rhode Island terekspos dalam insiden ini.

Angka tersebut menunjukkan bahwa skala kebocoran data mencakup ribuan pengemudi di tiga negara bagian Amerika Serikat. Data yang terekspos mencakup informasi pribadi dan surat izin mengemudi, dua jenis data yang sangat sensitif karena dapat disalahgunakan untuk penipuan identitas atau akses tidak sah ke layanan lain.

Insiden ini menegaskan risiko rantai pasok keamanan siber di sektor layanan digital. Ketika perusahaan seperti Uber mengandalkan mitra eksternal untuk mengakses teknologi AI, celah keamanan pada mitra tersebut dapat menjadi pintu masuk bagi pelaku kejahatan siber. Kredensial internal yang dicuri dari Fireworks.ai menjadi kunci yang memungkinkan akses ke data Uber tanpa harus menembus sistem utama Uber secara langsung.

Respons Uber dan Fireworks.ai

Uber telah mengirimkan pemberitahuan kepada para pengemudi yang terdampak melalui pengajuan dokumen kepada beberapa jaksa agung. Langkah ini merupakan kewajiban hukum di Amerika Serikat ketika terjadi pelanggaran data yang melibatkan informasi pribadi warga. Dokumen tersebut memuat rincian tentang insiden dan informasi yang dikompromikan.

Fireworks.ai sendiri telah mengakui insiden peretasan yang menimpa mereka pada Oktober 2026. Perusahaan mengonfirmasi bahwa data klien mereka turut terdampak dalam insiden tersebut. Namun, Fireworks.ai belum memberikan rincian lebih lanjut mengenai metode serangan atau langkah mitigasi yang telah dilakukan.

Kelompok kriminal siber yang bertanggung jawab atas peretasan ini diketahui berfokus pada pencurian token akses ke large language model. Token tersebut kemudian dijual di pasar gelap, memungkinkan pembeli untuk mengakses layanan AI tanpa membayar biaya resmi. Model bisnis kejahatan siber ini menunjukkan pergeseran tren, di mana akses ke infrastruktur AI menjadi komoditas yang diperdagangkan secara ilegal.

Kasus ini juga menyoroti pentingnya pengawasan terhadap keamanan data di sektor AI. Seiring semakin banyak perusahaan yang mengandalkan layanan AI dari penyedia eksternal, risiko kebocoran data melalui rantai pasok teknologi menjadi perhatian utama. Peretasan terhadap penyedia layanan AI tidak hanya berdampak pada klien langsung mereka, tetapi juga pada pengguna akhir yang datanya tersimpan dalam sistem klien tersebut.

Bagi pengemudi Uber yang terdampak, insiden ini menimbulkan kekhawatiran mengenai keamanan data pribadi mereka. Surat izin mengemudi mengandung informasi sensitif yang dapat disalahgunakan untuk berbagai keperluan, mulai dari penipuan identitas hingga pembukaan rekening bank secara ilegal. Uber belum mengumumkan langkah kompensasi atau perlindungan tambahan bagi para pengemudi yang datanya terekspos.

Peretasan ini juga menjadi pengingat bagi industri teknologi secara luas tentang pentingnya audit keamanan terhadap mitra pihak ketiga. Ketika data sensitif pengguna dipercayakan kepada vendor eksternal, perusahaan tetap bertanggung jawab secara moral dan hukum untuk memastikan bahwa data tersebut terlindungi dengan baik. Insiden yang menimpa Uber melalui Fireworks.ai menunjukkan bahwa celah keamanan pada satu titik dalam rantai pasok dapat berdampak besar pada seluruh ekosistem.

Hingga berita ini diturunkan, belum ada informasi lebih lanjut mengenai apakah penyelidikan sedang berlangsung atau apakah pihak berwenang telah mengambil langkah hukum terhadap kelompok kriminal siber yang bertanggung jawab. Uber dan Fireworks.ai juga belum memberikan pernyataan resmi tambahan mengenai insiden ini.