Vazamento de dados de DriveSure

Os tipos de dados verificados são endereços de e-mail, nomes, números de telefone, endereços físicos, informações de veículos e um número limitado de hashes de senha. As informações de veículos devem ser entendidas como marca, modelo, número VIN e, em alguns registros, detalhes de quilometragem ou serviços realizados. O número VIN e o histórico do veículo podem estabelecer uma ligação direta com um veículo que a pessoa possui ou utiliza. Essas informações podem ser usadas para dar credibilidade a mensagens fraudulentas sobre seguros, serviços, garantias, recalls, registros de danos ou compra e venda de veículos.

A distinção mais importante no campo de senha é saber se o dado é descrito como uma senha em texto simples ou como um hash de senha bcrypt. O bcrypt dificulta a leitura direta das senhas; no entanto, o risco não é totalmente eliminado quando as senhas são fracas ou reutilizadas. A combinação de endereço, telefone e informações do veículo forma um perfil detalhado que pode ser usado em phishing e golpes por telefone. Um invasor pode usar a marca do seu veículo ou informações do histórico de serviços para criar ofertas falsas de extensão de garantia, descontos em manutenção, renovações de seguro ou avisos de segurança do veículo.

A data verificada do incidente consta como 19 de dezembro de 2020. O acesso não autorizado foi detectado em dezembro de 2020 e, em janeiro de 2021, soube-se que havia ocorrido uma tentativa de vender os dados a partes não autorizadas. O registro contém 3.675.099 endereços de e-mail únicos. Algumas notícias podem mencionar aproximadamente 3,2 milhões ou 3,7 milhões de pessoas; essa diferença decorre de variações entre a contagem de linhas, a contagem de e-mails únicos e o uso de números arredondados. O número principal utilizado neste registro é o de endereços de e-mail únicos.

O escopo não deve ser ampliado. A declaração da empresa indicou que a parte não autorizada não teve acesso a informações que poderiam ser usadas para abrir uma conta de crédito; este registro também não inclui dados de cartão de crédito, conta bancária ou números de documentos oficiais de identificação entre os tipos de dados. No entanto, nome, endereço, telefone, e-mail, VIN e detalhes do veículo são valiosos para modalidades de fraude que não envolvem roubo de identidade. Como há poucos hashes de senha, o risco relacionado a senhas não é o mesmo para todos os registros; ainda assim, não se deve ignorar a possibilidade de a mesma senha ter sido usada em outros serviços.

O grupo de maior risco é composto por clientes que compram veículos em concessionárias que usam a DriveSure, recebem serviços ou participam do programa de manutenção ou fidelidade. Essas pessoas podem nunca ter visto o nome DriveSure; o cadastro pode ter sido criado por meio dos serviços da concessionária. Antigos proprietários de veículos, compradores de veículos usados, clientes cujas garantias estão sendo acompanhadas e participantes de determinadas campanhas de serviços também podem estar em risco. Ter informações do veículo permite que invasores criem abordagens mais convincentes e específicas, em vez de ataques genéricos de phishing.

Mesmo para pessoas cujos dados de endereço e telefone estão desatualizados, o risco não é totalmente eliminado. Endereços antigos podem ser associados a residências anteriores, à propriedade de veículos no passado ou ao histórico de serviços. Quando combinadas com um endereço de e-mail atual, informações antigas de veículos podem tornar o usuário alvo de mensagens falsas sobre garantia, manutenção, recall ou seguro. Para o pequeno grupo cujos registros contêm hashes de senha, há um risco adicional de que a mesma senha seja testada em outras contas. Por isso, ao acompanhar o vazamento de dados da DriveSure, é preciso considerar tanto o risco de fraudes em serviços automotivos quanto a segurança da conta.

Tenha cautela com e-mails e ligações inesperados relacionados à DriveSure, a concessionárias, garantias, agendamentos de serviços ou renovações de seguro. Não considere alguém confiável apenas porque essa pessoa conhece a marca, o modelo ou o VIN do veículo. Se houver pedidos de pagamento, dados de cartão, códigos de uso único, dados de conta bancária ou documentos de identificação, interrompa a interação e entre em contato diretamente com a concessionária ou o prestador de serviços por números de telefone conhecidos. Não faça agendamentos nem renovações de garantia por links suspeitos.

Se você souber qual senha foi usada na DriveSure ou na conta da concessionária relacionada, altere-a. Se a mesma senha foi usada em outras contas de serviços automotivos, seguros, e-mail ou compras, defina senhas exclusivas para essas contas também. Proteja bem sua conta de e-mail, ative a autenticação de dois fatores e atualize as opções de recuperação. Verifique regularmente os documentos do veículo, os registros de serviços e as mensagens de seguro; questione cobranças de garantia ou manutenção que você não reconheça. Filtros de chamadas indesejadas e regras de e-mail também reduzem o risco de engenharia social.

No longo prazo, procure saber quais serviços de terceiros têm acesso aos dados nos processos de compra de veículos e prestação de serviços. Desative autorizações desnecessárias de marketing nas concessionárias e, se possível, atualize ou exclua informações antigas de veículos e endereços. Usar um endereço de e-mail separado para contato em serviços automotivos, em vez do seu e-mail principal, pode reduzir o impacto dos vazamentos nas contas principais. Não compartilhe documentos sensíveis nem informações de VIN do veículo em perfis públicos; esses dados podem ser usados em mensagens falsas sobre serviços e seguros.

Para as empresas, o incidente da DriveSure mostra que os dados de clientes mantidos na cadeia de concessionárias e prestadores de serviços precisam ser protegidos. As informações de veículos não são apenas registros técnicos; são dados pessoais que vinculam uma pessoa ao seu endereço físico, histórico de serviços e hábitos de compra. Os prazos de retenção de dados devem ser reduzidos, os registros antigos de clientes devem ser eliminados, as atividades de exportação de grandes volumes de dados devem ser monitoradas e o acesso de fornecedores deve ser limitado. Os hashes de senha devem ser protegidos com métodos robustos, e as notificações aos clientes devem ser claras e enviadas em tempo hábil.

Se você encontrar uma correspondência neste registro, seu endereço de e-mail pode ter sido encontrado entre os 3.675.099 e-mails únicos associados ao vazamento de dados da DriveSure. Uma correspondência não significa necessariamente que você tenha aberto uma conta diretamente na DriveSure; suas informações podem ter entrado no sistema da DriveSure por meio de uma relação com uma concessionária ou um prestador de serviços. Por isso, você precisa verificar em conjunto seu histórico de veículos, suas relações anteriores com concessionárias e o endereço de e-mail em questão. Embora o risco relacionado a hashes de senha se aplique a um número limitado de registros, senhas reutilizadas devem ser alteradas.

A combinação de endereço, número de telefone, e-mail e informações do veículo pode dar grande credibilidade a mensagens fraudulentas. Confirme ofertas inesperadas de serviços, garantia ou seguro para o seu veículo diretamente pelo canal oficial de comunicação da instituição responsável. Mesmo que não haja dados financeiros suficientes para abrir uma conta de crédito, o risco de phishing e de fraudes relacionadas ao veículo é real. A resposta adequada ao vazamento de dados da DriveSure não se resume a trocar a senha; também é preciso considerar o possível uso indevido, no longo prazo, das informações do veículo, do endereço e dos dados de contato.