Утечка данных DriveSure

Подтверждённые типы данных включают адреса электронной почты, имена, номера телефонов, физические адреса, сведения об автомобилях и ограниченное количество хешей паролей. Под сведениями об автомобиле следует понимать марку, модель, VIN-номер, а в некоторых записях, информацию о пробеге или обслуживании. VIN-номер и история автомобиля могут напрямую связывать человека с автомобилем, которым он владеет или пользуется. Эти сведения могут придавать убедительность мошенническим сообщениям о страховании, обслуживании, гарантии, отзывных кампаниях, сведениях о повреждениях или покупке и продаже автомобилей.

Для поля пароля важнее всего различать, представлен ли пароль открытым текстом или в виде хеша bcrypt. Bcrypt затрудняет непосредственное прочтение паролей, но не устраняет риск полностью, если пароль слабый или используется повторно. Сочетание адреса, телефона и сведений об автомобиле позволяет составить подробный профиль для фишинга и телефонного мошенничества. Злоумышленник может использовать марку вашего автомобиля или его историю обслуживания для подготовки поддельных предложений о продлении гарантии, скидках на обслуживание, продлении страховки или уведомлений о безопасности автомобиля.

Подтверждённая дата инцидента, указанная в записи, 19 декабря 2020 года. Несанкционированный доступ был обнаружен в декабре 2020 года, а в январе 2021 года стало известно о попытке продать данные лицам, не имевшим права на доступ к ним. Запись содержит 3 675 099 уникальных адресов электронной почты. В некоторых новостных сообщениях может упоминаться примерно 3,2 миллиона или 3,7 миллиона человек. Разница связана с тем, что в одних случаях подсчитывают строки, в других, уникальные адреса электронной почты, а также используют округлённые значения. Основной показатель в этой записи, количество уникальных адресов электронной почты.

Не следует расширять заявленный охват утечки. В заявлении компании говорилось, что посторонняя сторона не имела доступа к информации, которую можно использовать для открытия кредитного счёта. В этой записи данные кредитных карт, банковских счетов и номера официальных удостоверений личности также не включены в перечень типов данных. Тем не менее имя, адрес, телефон, электронная почта, VIN и сведения об автомобиле представляют ценность для различных видов мошенничества, помимо использования чужой личности. Поскольку хешей паролей было немного, риск, связанный с паролями, неодинаков для всех записей. При этом нельзя упускать из виду, что тот же пароль мог использоваться и в других сервисах.

Наибольшему риску подвержены клиенты, которые покупают автомобили у дилеров, использующих DriveSure, обслуживают у них автомобили или участвуют в программе обслуживания и лояльности. Эти люди могли никогда не встречать название DriveSure: их могли зарегистрировать в рамках дилерских услуг. Риск также может затрагивать бывших владельцев автомобилей, покупателей подержанных машин, клиентов, для которых ведётся учёт гарантий, и участников отдельных сервисных кампаний. Сведения об автомобиле позволяют злоумышленникам создавать более убедительные сценарии, связанные с конкретной машиной, вместо обычных фишинговых атак.

Даже если адрес и номер телефона человека уже неактуальны, риск не исчезает полностью. Старые адреса могут указывать на прежние места жительства, владение автомобилями в прошлом или историю обслуживания. В сочетании с действующим адресом электронной почты старые сведения об автомобиле могут сделать пользователя целью поддельных сообщений о гарантии, обслуживании, отзывных кампаниях или страховании. Для небольшой группы пользователей, чьи записи содержат хеши паролей, существует дополнительный риск: тот же пароль могут попытаться использовать для входа в другие аккаунты. Поэтому последствия утечки DriveSure следует отслеживать как с точки зрения мошенничества в сфере автомобильных услуг, так и с точки зрения безопасности аккаунтов.

Будьте осторожны с неожиданными письмами и звонками, связанными с DriveSure, автодилерами, гарантиями, записью на обслуживание или продлением страховки. Не стоит доверять звонящему только потому, что он знает марку, модель или VIN вашего автомобиля. Если у вас просят оплату, данные карты, одноразовые коды, реквизиты банковского счёта или документы, удостоверяющие личность, прекратите взаимодействие и свяжитесь с соответствующим дилером или сервисом напрямую по известному вам номеру телефона. Не записывайтесь на обслуживание и не продлевайте гарантию по подозрительным ссылкам.

Если вы знаете пароль, который использовали для DriveSure или аккаунта у соответствующего дилера, смените его. Если тот же пароль использовался в других аккаунтах автомобильных или страховых сервисов, электронной почты либо интернет-магазинов, установите для них уникальные пароли. Надёжно защитите почтовый аккаунт, включите двухфакторную аутентификацию и обновите способы восстановления доступа. Регулярно проверяйте документы на автомобиль, записи об обслуживании и сообщения от страховой компании; выясняйте происхождение незнакомых платежей за гарантию или обслуживание. Фильтры телефонного спама и правила обработки электронной почты также помогают снизить риск социальной инженерии.

В долгосрочной перспективе стоит выяснять, какие сторонние сервисы получают доступ к данным при покупке и обслуживании автомобиля. Отзовите у дилеров ненужные согласия на использование ваших данных в маркетинговых целях, а устаревшие сведения об автомобиле и адресе по возможности обновите или удалите. Использование отдельного контактного адреса электронной почты для автомобильных сервисов вместо основного может уменьшить влияние утечек на основные аккаунты. Не публикуйте в открытых профилях конфиденциальные документы и VIN автомобиля: эти сведения могут использоваться в поддельных сообщениях об обслуживании и страховании.

Для компаний инцидент с DriveSure показывает необходимость защищать клиентские данные, хранящиеся у дилеров и поставщиков услуг. Сведения об автомобиле, не просто техническая запись, а персональные данные, которые связывают человека с его физическим адресом, историей обслуживания и покупательским поведением. Следует сокращать сроки хранения данных, очищать устаревшие клиентские записи, отслеживать выгрузки больших объёмов данных и ограничивать доступ поставщиков. Хеши паролей необходимо защищать надёжными методами, а уведомления клиентам должны быть понятными и своевременными.

Если вы видите совпадение в этой записи, ваш адрес электронной почты мог быть найден среди 3 675 099 уникальных адресов, связанных с утечкой данных DriveSure. Совпадение не обязательно означает, что вы самостоятельно создавали аккаунт DriveSure: ваши данные могли попасть в систему через автодилера или в рамках обслуживания. Поэтому следует сопоставить историю ваших автомобилей, прежние обращения к дилерам и соответствующий адрес электронной почты. Хотя риск, связанный с хешами паролей, относится лишь к ограниченному числу записей, повторно используемые пароли следует сменить.

Сочетание адреса, номера телефона, электронной почты и сведений об автомобиле может значительно повысить доверие к мошенническим сообщениям. Проверяйте неожиданные предложения об обслуживании, гарантии или страховании вашего автомобиля напрямую через официальный канал связи соответствующей организации. Даже если финансовых данных недостаточно для открытия кредитного счёта, риск фишинга и мошенничества, связанного с автомобилем, остаётся реальным. Правильная реакция на утечку DriveSure не должна сводиться к смене пароля: необходимо также учитывать возможность долгосрочного злоупотребления сведениями об автомобиле, адресом и контактными данными.