Um agente de ameaça autodenominado SCARLETTGROUP publicou em um fórum da dark web uma alegação de violação de dados da VinSolutions, afirmando ter roubado dados de customer relationship management (CRM) do fornecedor de software automotivo. O anúncio supostamente menciona números de Seguro Social, perfis bancários e credenciais de concessionárias. No momento da redação, a alegação se baseia apenas na própria publicação do ator no fórum, e não vimos confirmação da empresa.

Essa lacuna entre alegação e confirmação é importante. Também não significa que você deva esperar para agir, já que as medidas de proteção abaixo custam pouco e ajudam em muitas situações.

O que a SCARLETTGROUP alega ter obtido da VinSolutions

De acordo com a divulgação resumida no relatório de origem, a SCARLETTGROUP alega ter exfiltrado bancos de dados de CRM pertencentes à VinSolutions, fornecedora de software usado por concessionárias de veículos. As categorias de dados que o ator diz possuir incluem:

  • Números de Seguro Social de clientes
  • Perfis bancários e financeiros
  • Credenciais de concessionárias

O relatório descreve o incidente como uma tentativa de extorsão de dados, o que significa que o ator está apresentando o suposto material como alavancagem ou para venda, em vez de simplesmente publicá-lo. A fonte não fornece uma contagem verificada de registros, uma data de intrusão ou amostras que tenham sido verificadas de forma independente, portanto não estamos repetindo ningún número.

Por que uma violação de CRM importa para compradores de carros

Um sistema de CRM é onde uma concessionária mantém os dados de pessoas que demonstram interesse ou compram veículos. Quando um comprador solicita financiamento, a concessionária frequentemente coleta o tipo de informação que os credores precisam: dados de identidade, renda e informações bancárias. Se um fornecedor que armazena esses dados para muitas concessionárias fosse comprometido, a exposição poderia atingir pessoas que nunca lidaram diretamente com o fornecedor. A maioria dos compradores de carros não tem ideia de qual software sua concessionária utiliza.

As supostas credenciais de concessionárias adicionam um segundo risco. Logins roubados de contas de concessionárias poderiam potencialmente permitir que alguém acessasse mais registros ou se passasse por uma concessionária em mensagens de phishing direcionadas a clientes. Mesmo sem qualquer violação, golpistas sabem que as pessoas esperam retorno de concessionárias e credores, então mensagens sobre "o financiamento do seu veículo" podem parecer convincentes.

SSNs são o item mais grave da lista. Diferentemente de uma senha, um SSN não pode ser alterado facilmente, e pode ser usado para abrir contas de crédito em seu nome muito tempo depois de uma violação.

O que está confirmado e o que ainda não foi verificado

Eis a situação atual com base nas informações disponíveis para nós:

  • Confirmado: Uma publicação no fórum pela SCARLETTGROUP faz a alegação, e um alerta de inteligência de ameaças reportou sobre isso.
  • Não verificado: Se os dados são reais, se vieram dos sistemas da VinSolutions, quantas pessoas foram afetadas e se os campos de SSN e bancários estão preenchidos como alegado.
  • Desconhecido: Se a empresa investigou, notificou clientes ou notificou reguladores.

Agentes de ameaça às vezes exageram, reciclam dados antigos ou atribuem erroneamente sua origem para ganhar atenção e pressionar vítimas. Para contexto sobre como esse ator opera, veja nossa cobertura da alegação de violação de dados da SCARLETTGROUP contra a Yale University Press, outro anúncio que foi apresentado em um fórum e reportado por meio de um feed de inteligência de ameaças. Um padrão de alegações públicas não é prova de que qualquer uma delas seja precisa, mas é motivo para tratar cada uma com ceticismo cuidadoso, em vez de pânico ou descarte.

O que isso significa para você

Se você comprou ou financiou um veículo, ou enviou uma consulta a uma concessionária, pode ter dados em um sistema de CRM, possivelmente este. Você não consegue saber por fora. A abordagem sensata é assumir que suas informações podem estar expostas e tomar precauções de baixo custo, enquanto aguarda uma declaração oficial antes de tirar conclusões.

Tenha cuidado especial com contato não solicitado. Se alguém ligar, enviar mensagem de texto ou e-mail sobre um financiamento de carro, um problema de pagamento ou "verificação" dos seus dados, não use as informações de contato fornecidas. Procure você mesmo a concessionária ou o credor e ligue diretamente.

Como proteger seu SSN e dados bancários agora

Estas medidas fazem sentido independentemente de a alegação ser ou não confirmada:

  1. Congele seu crédito em cada um dos principais bureaus de crédito. Um congelamento bloqueia a maioria das novas solicitações de crédito em seu nome, é gratuito e pode ser suspenso temporariamente quando você precisar tomar crédito.
  2. Ative um alerta de fraude se preferir uma opção mais leve ou quiser uma camada adicional de verificação em novas solicitações de crédito.
  3. Monitore suas contas bancárias e de cartão em busca de transações pequenas ou desconhecidas, que criminosos às vezes usam para testar dados roubados.
  4. Revise seus relatórios de crédito em busca de contas ou consultas que você não reconhece.
  5. Use senhas exclusivas e autenticação multifator em contas bancárias e de e-mail, já que o acesso ao e-mail pode ser usado para redefinir outros logins.
  6. Fique atento a avisos oficiais. Se uma concessionária ou fornecedor enviar uma notificação de violação, leia com atenção e siga suas instruções.

Uma VPN não protege dados que já estão armazenados nos servidores de uma empresa, portanto não é uma solução para esse tipo de exposição. As medidas acima são o que realmente limita os danos.

A conclusão

A alegação de violação de dados da VinSolutions não foi comprovada, mas o dano potencial de SSNs e dados bancários expostos é grave o suficiente para justificar ação agora. Congele seu crédito, ative alertas de fraude e fique de olho nas suas contas financeiras, independentemente de a alegação ser confirmada. Para mais contexto sobre como esse ator se comporta, leia nosso relatório sobre a alegação da SCARLETTGROUP contra a Yale University Press, e volte aqui para atualizações se a VinSolutions ou concessionárias afetadas emitirem uma declaração.