Un acteur de la menace se faisant appeler SCARLETTGROUP a publié sur un forum du dark web une revendication de violation de données visant VinSolutions, affirmant avoir dérobé des données de gestion de la relation client (CRM) auprès du fournisseur de logiciels automobiles. L'annonce mentionnerait des numéros de sécurité sociale, des profils bancaires et des identifiants de concessionnaires. Au moment de la rédaction, la revendication repose sur la seule publication de l'acteur sur le forum, et nous n'avons vu aucune confirmation de la part de l'entreprise.
Cet écart entre revendication et confirmation compte. Cela ne signifie pas non plus qu'il faut attendre pour agir, car les mesures de protection ci-dessous coûtent peu et aident dans de nombreuses situations.
Ce que SCARLETTGROUP affirme avoir dérobé chez VinSolutions
Selon la divulgation résumée dans le rapport source, SCARLETTGROUP allègue avoir exfiltré des bases de données CRM appartenant à VinSolutions, un fournisseur de logiciels utilisés par les concessionnaires automobiles. Les catégories de données que l'acteur dit détenir comprennent :
- Numéros de sécurité sociale des clients
- Profils bancaires et financiers
- Identifiants de concessionnaires
Le rapport décrit l'incident comme une tentative d'extorsion de données, ce qui signifie que l'acteur présente le butin allégué comme un levier ou à vendre plutôt que de simplement le publier. La source ne fournit ni nombre d'enregistrements vérifié, ni date d'intrusion, ni échantillons contrôlés de manière indépendante, nous ne reprenons donc aucun chiffre.
Pourquoi une violation de CRM importe pour les acheteurs de voitures
Un système CRM est l'endroit où un concessionnaire conserve les coordonnées des personnes qui se renseignent sur des véhicules ou en achètent. Lorsqu'un acheteur demande un financement, un concessionnaire collecte souvent le type d'informations dont les prêteurs ont besoin : données d'identité, revenus et informations bancaires. Si un fournisseur qui stocke ces données pour de nombreux concessionnaires était compromis, l'exposition pourrait atteindre des personnes qui n'ont jamais traité directement avec ce fournisseur. La plupart des acheteurs de voitures n'ont aucune idée du logiciel utilisé par leur concessionnaire.
Les identifiants de concessionnaires allégués ajoutent un second risque. Des identifiants volés pour des comptes de concessionnaires pourraient potentiellement permettre à quelqu'un d'accéder à davantage d'enregistrements, ou d'usurper l'identité d'un concessionnaire dans des messages d'hameçonnage ciblant les clients. Même sans aucune violation, les escrocs savent que les gens s'attendent à un suivi de la part des concessionnaires et des prêteurs, de sorte que les messages concernant « le financement de votre véhicule » peuvent sembler convaincants.
Les SSN sont l'élément le plus grave de la liste. Contrairement à un mot de passe, un SSN ne peut pas être changé facilement, et il peut être utilisé pour ouvrir des comptes de crédit en votre nom longtemps après une violation.
Ce qui est confirmé et ce qui reste non vérifié
Voici où en sont les choses sur la base des informations dont nous disposons :
- Confirmé : Une publication sur un forum par SCARLETTGROUP formule la revendication, et une alerte de renseignement sur les menaces l'a rapportée.
- Non vérifié : Si les données sont réelles, si elles proviennent des systèmes de VinSolutions, combien de personnes sont affectées, et si les champs SSN et bancaires sont renseignés comme annoncé.
- Inconnu : Si l'entreprise a enquêté, notifié les clients ou notifié les régulateurs.
Les acteurs de la menace exagèrent parfois, recyclent d'anciennes données ou attribuent à tort leur source pour attirer l'attention et faire pression sur les victimes. Pour du contexte sur la façon dont cet acteur opère, consultez notre couverture de la revendication de violation de données de SCARLETTGROUP contre Yale University Press, une autre annonce présentée sur un forum et rapportée via un flux de renseignement sur les menaces. Une série de revendications publiques ne prouve pas qu'une seule d'entre elles soit exacte, mais c'est une raison de traiter chacune avec un scepticisme prudent plutôt qu'avec panique ou rejet.
Ce que cela signifie pour vous
Si vous avez acheté ou financé un véhicule, ou soumis une demande à un concessionnaire, vous pouvez avoir des données dans un système CRM, peut-être celui-ci. Vous ne pouvez pas le savoir de l'extérieur. L'approche raisonnable consiste à supposer que vos informations pourraient être exposées et à prendre des précautions peu coûteuses, tout en attendant une déclaration officielle avant de tirer des conclusions.
Soyez particulièrement prudent avec les contacts non sollicités. Si quelqu'un vous appelle, vous envoie un texto ou un e-mail à propos d'un prêt automobile, d'un problème de paiement ou d'une « vérification » de vos coordonnées, n'utilisez pas les informations de contact qu'il fournit. Recherchez vous-même le concessionnaire ou le prêteur et appelez-le directement.
Comment protéger votre SSN et vos coordonnées bancaires dès maintenant
Ces mesures ont du sens que la revendication soit un jour confirmée ou non :
- Gelez votre crédit auprès de chacun des principaux bureaux de crédit. Un gel bloque la plupart des nouvelles demandes de crédit en votre nom, est gratuit, et peut être levé temporairement lorsque vous avez besoin d'emprunter.
- Placez une alerte à la fraude si vous préférez une option plus légère ou souhaitez une couche supplémentaire de vérification sur les nouvelles demandes de crédit.
- Surveillez vos comptes bancaires et de carte pour détecter les transactions petites ou inconnues, que les criminels utilisent parfois pour tester des coordonnées volées.
- Examinez vos rapports de crédit pour repérer des comptes ou des demandes que vous ne reconnaissez pas.
- Utilisez des mots de passe uniques et l'authentification multifacteur sur les comptes bancaires et de messagerie, car l'accès à l'e-mail peut servir à réinitialiser d'autres identifiants.
- Surveillez les avis officiels. Si un concessionnaire ou un fournisseur envoie une notification de violation, lisez-la attentivement et suivez ses instructions.
Un VPN ne protège pas les données déjà stockées sur les serveurs d'une entreprise, ce n'est donc pas une solution pour ce type d'exposition. Les mesures ci-dessus sont ce qui limite réellement les dommages.
À retenir
La revendication de violation de données visant VinSolutions n'est pas prouvée, mais le préjudice potentiel lié à l'exposition des SSN et des coordonnées bancaires est suffisamment grave pour justifier une action dès maintenant. Gelez votre crédit, placez des alertes à la fraude et surveillez vos comptes financiers, que la revendication soit confirmée ou non. Pour plus de contexte sur le comportement de cet acteur, lisez notre rapport sur la revendication de SCARLETTGROUP contre Yale University Press, et revenez ici pour des mises à jour si VinSolutions ou les concessionnaires concernés publient une déclaration.
