Un actor de amenazas que se hace llamar SCARLETTGROUP ha publicado en un foro de la dark web una afirmación sobre una brecha de datos de VinSolutions, alegando que robó datos de gestión de relaciones con clientes (CRM) del proveedor de software automotriz. Al parecer, el anuncio menciona números de Seguro Social, perfiles bancarios y credenciales de concesionarios. En el momento de redactar este artículo, la afirmación se basa en la propia publicación del actor en el foro, y no hemos visto confirmación por parte de la empresa.

Esa diferencia entre la afirmación y la confirmación importa. Tampoco significa que deba esperar para actuar, ya que los pasos de protección que se indican a continuación cuestan poco y ayudan en muchas situaciones.

Qué afirma SCARLETTGROUP haber tomado de VinSolutions

Según la divulgación resumida en el informe de origen, SCARLETTGROUP alega haber exfiltrado bases de datos CRM pertenecientes a VinSolutions, un proveedor de software utilizado por concesionarios de automóviles. Las categorías de datos que el actor dice tener incluyen:

  • Números de Seguro Social de clientes
  • Perfiles bancarios y financieros
  • Credenciales de concesionarios

El informe describe el incidente como un intento de extorsión de datos, lo que significa que el actor presenta el supuesto botín como palanca o para su venta en lugar de simplemente publicarlo. La fuente no proporciona un recuento verificado de registros, una fecha de intrusión ni muestras que hayan sido verificadas de forma independiente, por lo que no repetimos ninguna cifra.

Por qué una brecha de CRM importa a los compradores de automóviles

Un sistema CRM es donde un concesionario guarda los datos de las personas que consultan sobre vehículos o los compran. Cuando un comprador solicita financiamiento, el concesionario suele recopilar el tipo de información que los prestamistas necesitan: datos de identidad, ingresos e información bancaria. Si un proveedor que almacena estos datos para muchos concesionarios se viera comprometido, la exposición podría alcanzar a personas que nunca trataron directamente con el proveedor. La mayoría de los compradores de automóviles no tiene idea de qué software utiliza su concesionario.

Las supuestas credenciales de concesionarios añaden un segundo riesgo. Los inicios de sesión robados de cuentas de concesionarios podrían potencialmente permitir a alguien acceder a más registros o hacerse pasar por un concesionario en mensajes de phishing dirigidos a clientes. Incluso sin ninguna brecha, los estafadores saben que las personas esperan un seguimiento de concesionarios y prestamistas, por lo que los mensajes sobre "el financiamiento de su vehículo" pueden parecer convincentes.

Los SSN son el elemento más grave de la lista. A diferencia de una contraseña, un SSN no se puede cambiar fácilmente, y puede usarse para abrir cuentas de crédito a su nombre mucho después de una brecha.

Qué está confirmado y qué sigue sin verificarse

Esta es la situación según la información disponible para nosotros:

  • Confirmado: Una publicación en un foro de SCARLETTGROUP hace la afirmación, y una alerta de inteligencia de amenazas ha informado sobre ello.
  • Sin verificar: Si los datos son reales, si provienen de los sistemas de VinSolutions, cuántas personas están afectadas y si los campos de SSN y bancarios están completados como se afirma.
  • Desconocido: Si la empresa ha investigado, notificado a los clientes o notificado a los reguladores.

Los actores de amenazas a veces exageran, reciclan datos antiguos o atribuyen erróneamente su origen para llamar la atención y presionar a las víctimas. Para contextualizar cómo opera este actor, consulte nuestra cobertura de la afirmación de brecha de datos de SCARLETTGROUP en Yale University Press, otro anuncio que se presentó en un foro y se informó a través de un feed de inteligencia de amenazas. Un patrón de afirmaciones públicas no es prueba de que ninguna en particular sea precisa, pero es una razón para tratar cada una con cuidadoso escepticismo en lugar de pánico o desestimación.

Qué significa esto para usted

Si ha comprado o financiado un vehículo, o ha enviado una consulta a un concesionario, es posible que tenga datos en un sistema CRM, posiblemente este. No puede saberlo desde fuera. El enfoque sensato es asumir que su información podría estar expuesta y tomar precauciones de bajo costo, mientras espera una declaración oficial antes de sacar conclusiones.

Tenga especial cuidado con el contacto no solicitado. Si alguien le llama, le envía un mensaje de texto o un correo electrónico sobre un préstamo de automóvil, un problema de pago o la "verificación" de sus datos, no utilice la información de contacto que le proporcionen. Busque usted mismo el concesionario o prestamista y llámelo directamente.

Cómo proteger su SSN y sus datos bancarios ahora

Estos pasos tienen sentido tanto si la afirmación se confirma como si no:

  1. Congele su crédito con cada una de las principales agencias de crédito. Una congelación bloquea la mayoría de las nuevas solicitudes de crédito a su nombre, es gratuita y puede levantarse temporalmente cuando necesite pedir prestado.
  2. Establezca una alerta de fraude si prefiere una opción más ligera o desea una capa adicional de verificación en las nuevas solicitudes de crédito.
  3. Supervise sus cuentas bancarias y de tarjetas en busca de transacciones pequeñas o desconocidas, que los delincuentes a veces utilizan para probar datos robados.
  4. Revise sus informes de crédito en busca de cuentas o consultas que no reconozca.
  5. Utilice contraseñas únicas y autenticación multifactor en las cuentas bancarias y de correo electrónico, ya que el acceso al correo electrónico puede usarse para restablecer otros inicios de sesión.
  6. Esté atento a las notificaciones oficiales. Si un concesionario o proveedor envía una notificación de brecha, léala con atención y siga sus instrucciones.

Una VPN no protege los datos que ya están almacenados en los servidores de una empresa, por lo que no es una solución para este tipo de exposición. Las medidas anteriores son las que realmente limitan el daño.

La conclusión

La afirmación de brecha de datos de VinSolutions no está probada, pero el daño potencial de los SSN y datos bancarios expuestos es lo suficientemente grave como para justificar actuar ahora. Congele su crédito, establezca alertas de fraude y vigile sus cuentas financieras independientemente de si la afirmación se confirma. Para obtener más antecedentes sobre cómo se comporta este actor, lea nuestro informe sobre la afirmación de SCARLETTGROUP sobre Yale University Press, y vuelva a consultar aquí para obtener actualizaciones si VinSolutions o los concesionarios afectados emiten una declaración.