Des millions d’utilisateurs de CarGurus pourraient avoir vu leurs données personnelles et financières exposées après la publication, par un groupe d’acteurs malveillants notoire, d’un vaste jeu de données qui aurait été dérobé à la marketplace automobile.
Attribuée au groupe d’extorsion ShinyHunters, la fuite comprend 12,4 millions d’enregistrements, dont environ 70% correspondent à de nouvelles données.
« Le groupe d’extorsion ShinyHunters a publié les informations personnelles de plus de 12 millions de personnes, qui auraient été dérobées à CarGurus », selon BleepingComputer.
Ce que nous savons de la fuite de données de CarGurus
CarGurus est une marketplace automobile numérique cotée en bourse, active aux États-Unis, au Canada et au Royaume-Uni, qui attire environ 40 millions de visiteurs par mois. La plateforme permet aux utilisateurs de rechercher des véhicules, de comparer les prix et de faire une demande de financement
La fuite a d’abord été signalée par BleepingComputer, qui a détaillé l’archive de 6,1 Go publiée par ShinyHunters.
Si les détails techniques concernant le vecteur d’intrusion initial n’ont pas été divulgués, ShinyHunters est connu pour exploiter des contrôles d’accès faibles, des identifiants compromis et des failles liées à des services tiers.
Lors de nombreuses campagnes précédentes du groupe, les données sont d’abord exfiltrées, puis utilisées comme moyen de pression dans les négociations d’extorsion. Si les discussions échouent, le groupe publie les données au grand jour.
Dans ce cas, les champs exposés — notamment les adresses physiques, les numéros de téléphone et les données de financement — peuvent permettre des attaques d’ingénierie sociale très ciblées.
Les acteurs malveillants peuvent concevoir des e-mails ou des SMS d’hameçonnage convaincants en usurpant l’identité de concessionnaires, de prêteurs ou du support de CarGurus.
La connaissance, par exemple, du statut de préqualification d’un utilisateur pour un financement pourrait servir à inciter les victimes à remplir une demande ou à transmettre des documents financiers supplémentaires sur une page d’hameçonnage.
Renforcer la sécurité contre les attaques d’extorsion
À mesure que les incidents d’extorsion de données se multiplient, les organisations devraient adopter une stratégie proactive à plusieurs niveaux afin de réduire l’impact potentiel d’une compromission.
Les plateformes qui traitent des informations personnelles et financières sensibles doivent disposer de politiques de gouvernance claires, d’une bonne visibilité sur leurs environnements et de processus de réponse bien définis.
- Appliquer des contrôles d’accès au moindre privilège, exiger MFA pour tous les comptes à privilèges et surveiller les requêtes inhabituelles adressées aux bases de données ou les exportations massives de données.
- Déployer des solutions de prévention contre la perte de données (DLP), le filtrage des sorties et des outils d’analyse comportementale afin de détecter et de bloquer en temps réel les tentatives d’exfiltration de données non autorisées.
- Chiffrer les données financières sensibles au repos et en transit, mettre en œuvre une tokenisation lorsque cela est possible et segmenter les systèmes critiques afin de limiter les déplacements latéraux et l’impact d’une compromission.
- Mener des efforts complets d’inventaire, de classification et de minimisation des données, et appliquer des politiques strictes de conservation afin de réduire le volume d’informations sensibles stockées.
- Renforcer la gestion des risques liés aux tiers en évaluant les contrôles de sécurité des fournisseurs, en imposant des exigences de conformité et en appliquant les principes du zéro trust aux accès des partenaires.
- Tester et mettre régulièrement à jour les plans de réponse aux incidents au moyen d’exercices sur table et de simulations red team afin de garantir la préparation aux scénarios d’extorsion de données et de fuite publique.
Collectivement, ces mesures contribuent à limiter le rayon d’impact d’une éventuelle compromission tout en renforçant la résilience de l’organisation.
ShinyHunters et le virage vers les fuites de données
L’incident touchant CarGurus s’inscrit dans une tendance plus large de campagnes d’extorsion de données.
ShinyHunters a récemment revendiqué la responsabilité d’attaques visant notamment l’opérateur télécom néerlandais Odido et l’entreprise d’ad tech Optimizely.
Plutôt que de s’appuyer uniquement sur le chiffrement par rançongiciel, de nombreux groupes malveillants modernes privilégient le vol de données et les tactiques d’humiliation publique pour accroître leur moyen de pression.
Alors que le vol de données remplace de plus en plus les rançongiciels traditionnels comme principal moyen de pression, de nombreuses équipes de sécurité se tournent vers des solutions zero trust pour contribuer à réduire leur exposition.