Компания Volkswagen сообщила об утечке данных, которая затронула 3,3 млн клиентов и заинтересованных покупателей. Хакеры уже выставили на продажу данные, украденные у автопроизводителя.
Хакеры утверждают, что собранная ими база данных включает адреса электронной почты и идентификационные номера транспортных средств (VIN). В качестве подтверждения своих слов один из хакеров опубликовал два образца данных, которые включают полные имена, адреса электронной почты, почтовые адреса и номера телефонов клиентов.
В свою очередь, Volkswagen сообщила, что «большинство» затронутых данных включает: «имя и фамилию, личный или служебный почтовый адрес, адрес электронной почты или номер телефона. В некоторых случаях данные также включали информацию о приобретённом, арендованном или запрашиваемом транспортном средстве, такую как идентификационный номер транспортного средства (VIN), марку, модель, год, цвет и комплектацию». Но для 90 тыс. жертв данные также включали «более конфиденциальную информацию, касающуюся права на покупку, ссуду или аренду». По данным компании, «почти все наиболее конфиденциальные данные (более 95%) состоят из номеров водительских прав». Отмечается, что большая часть данных относится к клиентам Audi и заинтересованным покупателям только в США и Канаде. Компания также заявила, что считает, что данные не были защищены вендором (компания Audi принадлежит Volkswagen Group). Дополнительно утечка затронула «очень небольшое количество» сведений о датах рождения, номерах социального страхования, номерах счетов или кредитов, а также идентификационных номерах налогоплательщиков.
Ресурс Motherboard связался со всеми людьми, сведения о которых были включены в опубликованные хакерами образцы данных. Связь с ними осуществлялась по электронной почте или по телефону. Семь человек, с которыми связались журналисты, подтвердили, что, по крайней мере один фрагмент опубликованных хакерами данных, соответствовал действительности.
Хакер, который продаёт данные, сообщил ресурсу Motherboard, что эти сведения не содержат ни номеров социального страхования, ни информации о водительских правах. Хакер запрашивает за всю базу данных от $4000 до $5000.
По данным хакеров, для сбора данных использовался скрипт для сканирования интернета на наличие открытых BLOB-объектов Azure, которые по сути являются репозиториями данных, хранящимися в облаке Microsoft. Скрипт искал открытые резервные копии, проверяя известные домены компании, прикрепленные к blob.core.windows.net. При этом у хакера есть данные и из многих других источников, а не только BLOB-объектов Azure. По словам хакера, эта конкретная порция данных была получена в марте. Volkwagen говорит, что она была уведомлена об утечке 10 марта этого года, но данные могли быть похищены в промежуток времени между августом 2019 года и маем 2021 года. Компания не назвала поставщика, ответственного за утечку, заявив лишь, что с ним сотрудничают Audi, Volkswagen и некоторые официальные дилеры.
Компания Volkwagen добавила, что украденные данные относятся к периоду времени с 2014 по 2019 годы. Компания уведомляет всех пострадавших клиентов об этом инциденте. Volkswagen заявила, что отправляет электронные письма или обычную бумажную корреспонденцию жертвам утечки данных. Пострадавшим клиентам, предлагая бесплатный кредитный мониторинг и предупреждая их о том, что они могут стать жертвами будущих фишинговых атак с использованием украденной информации. Volkswagen заявила, что предлагает бесплатный кредитный мониторинг только для примерно 90 тыс. жертв, у которых были украдены более конфиденциальные данные.
Источник: vice