Segundo a própria empresa, um ataque expôs informações pessoais dos proprietários de carros da GM. Confira os detalhes do incidente.
A fabricante de automóveis norte-americana GM revelou que foi vítima de um ataque de preenchimento de credenciais no mês passado que expôs algumas informações de clientes e permitiu que hackers trocassem pontos de recompensa por cartões-presente (gift cards).
Ataque expôs informações pessoais dos proprietários de carros da GM
A General Motors opera uma plataforma online para ajudar os proprietários de veículos Chevrolet, Buick, GMC e Cadillac a gerenciar suas contas, serviços e resgatar pontos de recompensa.
Os proprietários de carros podem resgatar pontos de recompensa GM para veículos GM, serviço de carro, acessórios e compra de planos de serviço OnStar.
A GM divulgou que detectou a atividade de login maliciosa entre 11 e 29 de abril de 2022 e confirmou que os hackers resgataram pontos de recompensa do cliente por cartões-presente em alguns casos.
“Estamos escrevendo para acompanhar nosso e-mail [DATE] para você, informando sobre um incidente de dados envolvendo a identificação de resgate recente de seus pontos de recompensa que parece não ter sua autorização”, explica uma notificação de violação de dados enviada aos clientes afetados .
A GM afirma que restaurará pontos de recompensa para todos os clientes afetados por essa violação.
No entanto, essas violações não são resultado de uma invasão da General Motors, mas são causadas por uma onda de ataques de preenchimento de credenciais direcionados a clientes em sua plataforma.
Os ataques de preenchimento de credenciais ocorrem quando os agentes de ameaças usam coleções de combinações de nome de usuário/senha vazadas em violações de dados de outros sites para obter acesso a contas de usuários em um site.
“Com base na investigação até o momento, não há evidências de que as informações de login tenham sido obtidas da própria GM”, explica uma notificação de violação de dados diferente da GM.
“Acreditamos que partes não autorizadas obtiveram acesso às credenciais de login do cliente que foram anteriormente comprometidas em outros sites não-GM e depois reutilizaram essas credenciais na conta GM do cliente”.
A GM exige que os usuários afetados redefinam suas senhas antes de fazer login em suas contas novamente.
Quando os hackers violavam com sucesso uma conta da GM, eles podiam acessar certas informações armazenadas no site. Essas informações incluem os seguintes dados pessoais:
- Primeiro e último nome,
- endereço de e-mail pessoal,
- endereço pessoal,
- nome de usuário e número de telefone para membros da família registrados vinculados à conta,
- últimas informações de localização favoritas conhecidas e salvas,
- pacote OnStar atualmente assinado (se aplicável),
- avatares e fotos dos membros da família (se carregados),
- Foto do perfil,
- informações de pesquisa e destino.
Outras informações disponíveis para hackers quando eles violam contas da GM são histórico de quilometragem do carro, histórico de serviço, contatos de emergência, configurações de hotspot Wi-Fi (incluindo senhas) e muito mais.
No entanto, as contas GM não contêm data de nascimento, número do seguro social, número da carteira de motorista, informações do cartão de crédito ou informações da conta bancária, para que essas informações não tenham sido comprometidas.
Além de redefinir as senhas, a General Motors também aconselha os indivíduos afetados a solicitar relatórios de crédito de seus bancos e colocar um congelamento de segurança se o caso exigir. Instruções sobre como fazer qualquer um estão incluídas no aviso.
Infelizmente, o site online da GM não suporta autenticação de dois fatores, o que impediria o sucesso de ataques de preenchimento de credenciais. No entanto, é possível adicionar um PIN que os clientes devem usar para todas as compras.
Quanto ao número de clientes afetados, a GM enviou apenas uma amostra de notificação ao Gabinete do Procurador Geral da Califórnia, portanto, sabemos apenas o número de clientes afetados nesse estado, que é pouco menos de 5.000.
