freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

通用汽车遭撞库攻击被暴露车主个人信息
2022-05-24 13:19:36

近期,通用汽车表示他们在今年4月11日至29日期间检测到了恶意登录活动,经调查后发现黑客在某些情况下将客户奖励积分兑换为礼品卡,针对此次事件,通用汽车也及时给受影响的客服发邮件并告知客户。为了弥补客户所受损失,通用汽车表示,他们将为所有受此事件影响的客户恢复奖励积分。但根据调查,这些违规行为并不是通用汽车被黑客入侵的结果,而是由针对其平台上的客户的一波撞库攻击引起的。

撞库是指黑客通过收集网上已泄露的用户和密码信息,生成对应的字典表,并尝试批量登陆其他网站后,得到一系列可以登录的用户。经后续的调查,通用汽车表示目前没有证据表明登录信息是从通用汽车本身获得的,“未经授权的用户获得了之前在其他非通用汽车网站上被泄露的客户登录凭证的访问权限,然后在客户的通用汽车账户上重复使用这些凭证。”对此通用汽车要求受影响的用户  在再次登录他们的帐户之前重置他们的密码。

个人信息暴露

当黑客成功入侵用户的通用汽车帐户后,他们可以访问存储在该网站上的某些信息。此信息包括以下个人详细信息:

  • 名字和姓氏,
  • 个人电子邮件地址,
  • 个人地址,
  • 与帐户绑定的注册家庭成员的用户名和电话号码,
  • 最后已知和保存的最喜欢的位置信息,
  • 当前订阅的 OnStar 套餐(如果适用),
  • 家庭成员的头像和照片(如果已上传),
  • 个人资料图片,
  • 搜索和目的地信息。

黑客入侵通用汽车账户时可获得的其他信息包括汽车里程历史、服务历史、紧急联系人、Wi-Fi 热点设置(包括密码)等。但帐户里不包含出生日期、社会安全号码、驾驶执照号码、信用卡信息或银行帐户信息,因此这些信息没有被泄露。

除了重置密码外,通用汽车还建议受影响的用户向银行索取信用报告,如有必要还可进行账户安全冻结。不幸的是,通用汽车的在线站点不支持双重身份验证,所以其网站无法阻止撞库攻击。不过还有一种做法是客户可以给所有的支付动作添加PIN码验证环节。至于受影响的客户数量,通用汽车只向加州总检察长办公室提交了一份通知样本,因此我们只知道该州受影响的客户数量,也就是略低于5,000家。

参考来源:https://www.bleepingcomputer.com/news/security/gm-credential-stuffing-attack-exposed-car-owners-personal-info/

本文作者:, 转载请注明来自FreeBuf.COM

被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
评论 按热度排序

登录/注册后在FreeBuf发布内容哦

相关推荐
\
  • 0 文章数
  • 0 评论数
  • 0 关注者
文章目录
登录 / 注册后在FreeBuf发布内容哦