En hotaktör som kallar sig SCARLETTGROUP har publicerat ett påstående om en dataincident hos VinSolutions på ett dark web-forum, där den hävdar att den stal data från ett kundhanteringssystem (CRM) från programvaruleverantören till bilbranschen. Enligt uppgift nämner annonsen personnummer, bankprofiler och återförsäljarens inloggningsuppgifter. Vid tidpunkten för skrivandet vilar påståendet enbart på aktörens eget foruminlägg, och vi har inte sett någon bekräftelse från företaget.

Gapet mellan påstående och bekräftelse spelar roll. Det betyder inte heller att du bör vänta med att agera, eftersom skyddsåtgärderna nedan kostar lite och hjälper i många situationer.

Vad SCARLETTGROUP påstår sig ha tagit från VinSolutions

Enligt det avslöjande som sammanfattas i källrapporten hävdar SCARLETTGROUP att de exfiltrerade CRM-databaser som tillhör VinSolutions, en leverantör av programvara som används av bilåterförsäljare. De kategorier av data som aktören säger sig inneha omfattar:

  • Kunders personnummer
  • Bank- och finansprofiler
  • Återförsäljarens inloggningsuppgifter

Rapporten beskriver incidenten som ett försök till datautpressning, vilket innebär att aktören presenterar det påstådda bytet som påtryckningsmedel eller för försäljning snarare än att bara publicera det. Källan tillhandahåller inget verifierat antal poster, inget datum för intrånget och inga prover som oberoende kontrollerats, så vi upprepar inga siffror.

Varför ett CRM-intrång spelar roll för bilköpare

Ett CRM-system är där en bilhandlare förvarar uppgifterna om personer som frågar om eller köper fordon. När en köpare ansöker om finansiering samlar en handlare ofta in den typ av information som långivare behöver: identitetsuppgifter, inkomst och bankinformation. Om en leverantör som lagrar dessa data för många handlare skulle komprometteras, skulle exponeringen kunna nå personer som aldrig hade direktkontakt med leverantören. De flesta bilköpare har ingen aning om vilken programvara deras handlare använder.

De påstått stulna återförsäljaruppgifterna tillför en andra risk. Stulna inloggningsuppgifter för återförsäljarkonton skulle potentiellt kunna låta någon komma åt fler poster eller utge sig för att vara en bilhandlare i nätfiskemeddelanden riktade till kunder. Även utan något intrång vet bedragare att människor förväntar sig uppföljning från handlare och långivare, så meddelanden om "din bilfinansiering" kan verka övertygande.

Personnummer är den allvarligaste posten på listan. Till skillnad från ett lösenord kan ett personnummer inte enkelt ändras, och det kan användas för att öppna kreditkonton i ditt namn långt efter ett intrång.

Vad som är bekräftat och vad som fortfarande är overifierat

Här är läget baserat på den information som finns tillgänglig för oss:

  • Bekräftat: Ett foruminlägg av SCARLETTGROUP framför påståendet, och en hotunderrättelsevarning har rapporterat om det.
  • Overifierat: Om uppgifterna är äkta, om de kom från VinSolutions system, hur många personer som påverkas och om fälten för personnummer och bankuppgifter är ifyllda som påstått.
  • Okänt: Om företaget har utrett saken, meddelat kunder eller meddelat tillsynsmyndigheter.

Hotaktörer överdriver ibland, återanvänder gamla data eller felattribuerar dess källa för att få uppmärksamhet och sätta press på offer. För kontext om hur denna aktör arbetar, se vår rapportering om SCARLETTGROUPs påstående om dataincident hos Yale University Press, en annan annons som presenterades på ett forum och rapporterades via ett hotunderrättelseflöde. Ett mönster av offentliga påståenden är inte bevis för att något enskilt är korrekt, men det är en anledning att bemöta var och en med noggrann skepsis snarare än antingen panik eller avfärdande.

Vad detta innebär för dig

Om du har köpt eller finansierat ett fordon, eller skickat en förfrågan till en bilhandlare, kan du ha data i ett CRM-system, möjligen detta. Du kan inte avgöra det utifrån. Det kloka tillvägagångssättet är att anta att din information kan vara exponerad och vidta kostnadseffektiva försiktighetsåtgärder, medan du väntar på ett officiellt uttalande innan du drar slutsatser.

Var särskilt försiktig med oombedd kontakt. Om någon ringer, skickar sms eller e-post om ett billån, ett betalningsproblem eller "verifiering" av dina uppgifter, använd inte kontaktuppgifterna de tillhandahåller. Slå upp bilhandlaren eller långivaren själv och ring dem direkt.

Hur du skyddar ditt personnummer och dina bankuppgifter nu

Dessa steg är förnuftiga oavsett om påståendet någonsin bekräftas:

  1. Spärra din kredit hos var och en av de stora kreditbyråerna. En spärr blockerar de flesta nya kreditansökningar i ditt namn, är gratis och kan tillfälligt hävas när du behöver låna.
  2. Ställ in en bedrägerivarning om du föredrar ett lindrigare alternativ eller vill ha ett extra lager av verifiering vid nya kreditförfrågningar.
  3. Övervaka dina bank- och kortkonton för små eller okända transaktioner, som brottslingar ibland använder för att testa stulna uppgifter.
  4. Granska dina kreditrapporter för konton eller förfrågningar du inte känner igen.
  5. Använd unika lösenord och multifaktorautentisering för bank- och e-postkonton, eftersom e-poståtkomst kan användas för att återställa andra inloggningar.
  6. Håll utkik efter officiella meddelanden. Om en bilhandlare eller leverantör skickar en incidentnotifikation, läs den noggrant och följ dess instruktioner.

Ett VPN skyddar inte data som redan lagras på ett företags servrar, så det är ingen lösning för den här typen av exponering. Åtgärderna ovan är vad som faktiskt begränsar skadorna.

Slutsatsen

Påståendet om dataincidenten hos VinSolutions är obevisat, men den potentiella skadan från exponerade personnummer och bankuppgifter är tillräckligt allvarlig för att motivera åtgärder nu. Spärra din kredit, ställ in bedrägerivarningar och håll ett öga på dina finansiella konton oavsett om påståendet bekräftas. För mer bakgrund om hur denna aktör beter sig, läs vår rapport om SCARLETTGROUPs påstående om Yale University Press, och kom tillbaka hit för uppdateringar om VinSolutions eller berörda bilhandlare utfärdar ett uttalande.