CarGurus data breach exposes information of 12.4 million accounts
Mis à jour :
Fuite de données chez CarGurus : 12,4 millions de comptes compromis
Le groupe d’extorsion ShinyHunters a publié des informations personnelles provenant de plus de 12 millions de comptes de CarGurus, une plateforme numérique automobile américaine. Les données volées incluent des adresses e-mail, des adresses IP, des noms complets, des numéros de téléphone, des adresses physiques, des identifiants de compte utilisateur, des données relatives aux demandes de pré-qualification financière et aux résultats de ces demandes, des informations sur les comptes de concessionnaires et des détails d’abonnement. Bien que CarGurus n’ait pas encore fait de déclaration officielle, la plateforme de surveillance de fuites de données HaveIBeenPwned (HIBP) a confirmé la présence de ces données. Environ 3,7 millions de ces enregistrements seraient nouveaux, le reste ayant déjà été divulgué lors d’incidents précédents.
Points Clés :
- Acteur : Le groupe d’extorsion ShinyHunters est responsable de la fuite.
- Victime : CarGurus, une plateforme numérique automobile opérant aux États-Unis, au Canada et au Royaume-Uni.
- Volume : 12,4 millions d’enregistrements ont été publiés.
- Type de données : Informations personnelles sensibles, y compris des données financières.
- Risque : Les cybercriminels peuvent exploiter ces données pour des attaques de phishing et d’autres formes d’ingénierie sociale.
Vulnérabilités :
Aucune vulnérabilité spécifique (CVE) n’est mentionnée dans l’article. Le mode opératoire du groupe ShinyHunters implique généralement l’ingénierie sociale, notamment le vishing (hameçonnage vocal), pour obtenir l’accès à des plateformes SaaS (comme Salesforce, Okta, Microsoft 365) via des pages de collecte d’identifiants, ou par l’installation d’applications OAuth malveillantes accordant un accès API aux données clients.
Recommandations :
- Les utilisateurs de CarGurus doivent rester vigilants face aux communications potentiellement malveillantes et aux tentatives d’escroquerie qui pourraient exploiter les informations divulguées.