A Times Car confirmou que dados associados a cerca de 6,6 milhões de contas foram obtidos por terceiros após um acesso não autorizado ao seu sistema. A empresa japonesa de partilha de automóveis detetou o incidente a 25 de setembro e publicou os primeiros resultados da investigação a 28 de setembro. Entre as informações expostas podem estar nomes, moradas, contactos e dados de identificação.
O número abrange contas atuais e antigas da Times Car, pedidos de adesão que não chegaram a ser concluídos e membros do serviço empresarial Times Business Service. A informação disponível não significa que todos os campos tenham sido expostos em todas as contas, uma vez que o conjunto de dados varia consoante o utilizador e o tipo de registo.
Documentos de identificação estão entre os dados expostos
A lista divulgada pela Park24, grupo proprietário da Times Car, inclui nome, morada, data de nascimento, número de telefone, endereço de email, informação da carta de condução, imagens de documentos de identificação, palavras-passe e identificadores ligados a outros serviços. Para membros empresariais, também pode constar o departamento a que pertencem.
A empresa afirma que as palavras-passe estavam guardadas num formato que não permite a sua recuperação direta. Também diz ter confirmado que os dados de cartões de crédito não foram retirados. Até à publicação do comunicado, não existiam provas de divulgação pública das informações nem de utilização indevida diretamente associada ao incidente.
A dimensão exata de cada categoria continua a ser analisada. A MLex noticiou que os 6,6 milhões representam o máximo de contas potencialmente afetadas e que cerca de 1,6 milhões incluíam documentos usados para confirmar a identidade. A Times Car está a enviar avisos individuais de forma faseada.
Acesso foi bloqueado, mas a investigação continua
Segundo a cronologia oficial, a empresa detetou o acesso externo às 9h07 de 25 de setembro. Até às 7h25 do dia seguinte, tinha bloqueado a via usada na intrusão, interrompido a comunicação com a origem do ataque e confirmado que essa rota já não permitia novo acesso. A monitorização prosseguiu sem identificação de outra entrada não autorizada.
Uma entidade externa está a realizar a análise forense para determinar a causa e o alcance total. O caso foi comunicado à autoridade japonesa de proteção de dados e à polícia. Os serviços de partilha e aluguer de veículos continuam a funcionar normalmente, segundo a Park24.
A empresa ainda não atribuiu o ataque a um grupo nem explicou publicamente o método usado para entrar no sistema. Também não confirmou se todos os dados foram retirados ao mesmo tempo ou durante várias sessões. Esses pontos permanecem em investigação.
O principal risco passa pelas tentativas de fraude
A combinação de nome, contactos, morada e dados relacionados com a carta de condução pode tornar mensagens falsas mais convincentes. A Times Car alertou para emails, SMS e chamadas que usem o nome da empresa e pediu aos clientes que não abram ligações ou anexos inesperados, nem forneçam palavras-passe, códigos de autenticação ou informações de pagamento.
O aviso é semelhante ao que aconteceu na fuga de dados que expôs clientes europeus da Steam: detalhes verdadeiros podem ser usados para dar credibilidade a uma comunicação fraudulenta. Neste caso, a própria Times Car afirma que não solicita palavras-passe ou dados de cartões por email, SMS ou telefone.
A investigação deverá produzir novos detalhes sobre a origem da intrusão e as medidas de prevenção. Para já, está confirmada a obtenção de informação pessoal, a ausência de dados de cartões no conjunto exposto e a continuidade normal dos serviços.
Fontes: Park24 · BleepingComputer · MLex
