勒索组织 ShinyHunters 公布了据称从美国数字汽车平台 CarGurus 窃取的超过 1200 万条记录中的个人信息。
CarGurus 是一家上市的汽车资讯与购车服务公司，业务覆盖美国、加拿大和英国。
其网站每月约有 4000 万访问者，帮助用户查找、对比新车和二手车，并与卖家联系。
2 月 21 日，该威胁组织发布了一个 6.1GB 的压缩包，内含 1240 万条记录，声称数据来自 CarGurus。
一天后，数据泄露监测与提醒平台 HaveIBeenPwned（HIBP）收录了该数据集，并列出以下泄露数据类型：
· 电子邮箱地址
· IP 地址
· 姓名
· 电话号码
· 居住地址
· 用户账户 ID
· 金融预审批申请数据
· 金融申请结果
· 经销商账户详情
· 订阅信息
尽管 CarGurus 尚未发布官方声明披露数据泄露事件，也未回应 BleepingComputer 的置评请求，但需要注意的是，HIBP 在收录前会尝试核实泄露记录的真实性与有效性。
HIBP 报告称，70% 的泄露数据已在之前的事件中存入其数据库，因此约有 370 万条记录为新增数据。
由于这些信息可免费下载，网络犯罪分子可能会利用其实施钓鱼攻击。
ShinyHunters 将 CarGurus 列为其受害者（来源：BleepingComputer）
建议 CarGurus 用户警惕利用泄露信息发起的潜在恶意通信与诈骗行为。
数据勒索组织 ShinyHunters 近期十分活跃，宣称对多家大型企业发起攻击，并在谈判破裂后泄露其数据。
最近的案例包括荷兰电信运营商 Odido、广告技术公司 Optimizely、金融科技公司 Figure、服装品牌 Canada Goose、连锁餐厅 Panera Bread、在线交友公司 Match Group 以及音乐流媒体平台 SoundCloud。
该威胁组织通常使用社会工程学（最常见的是语音钓鱼）入侵机构，引导受害者访问凭证窃取页面，从而获取对 Salesforce、Okta、Microsoft 365 等 SaaS 平台的访问权限。
ShinyHunters 此前的攻击活动还包括诱骗员工安装恶意 OAuth 应用，从而获得对 Salesforce 内部客户数据表的 API 级读取权限。
消息来源：bleepingcomputer.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
