Le constructeur automobile américain General Motors (GM) déclare que son portail en ligne a été visé par une attaque de credential stuffing (bourrage d’identifiant) le mois dernier. Cette cyberattaque a exposé les données personnelles des propriétaires de véhicules.
Des données volées
Dans une notice, le constructeur automobile américain General Motors (GM) met ses clients en garde contre une violation de données. La société aurait en effet subi une attaque de credential stuffing (bourrage d’identifiant) sur sa plateforme en ligne. Ce qui a conduit au vol des informations personnelles des propriétaires de voiture.
Le credential stuffing est une stratégie de cyberattaque simple dans laquelle les attaquants utilisent des botnets et des scripts automatisés pour tenter de se connecter à un site. Et ce, grâce à des identifiants et des mots de passe volés. Les hackers exploitent le fait que des personnes utilisent potentiellement les mêmes mots de passe pour plusieurs plateformes ou sites numériques
Les propriétaires de véhicules Chevrolet, Buick, GMC et Cadillac ont accès à un portail en ligne exploité par General Motors. Cette plateforme permet aux propriétaires d’accéder facilement à de nombreux services comme la gestion des factures, la programmation d’un entretien ou encore l’échange des points de récompense. Les hackers ont pu accéder aux informations personnelles des propriétaires de comptes compromis.
General Motors : aucun système interne violé
Entre le 11 avril et le 29 avril, le constructeur automobile déclare avoir détecté une activité de connexion suspecte. Tout indiquait une attaque de credential stuffing. Les noms, prénoms, adresses (mail et postale), téléphones, l’historique des kilométrages figurent sur la liste des informations exfiltrées par les hackers.
General Motors affirme toutefois que le système interne de la société n’a pas été violé. Dans sa notice, le constructeur s’exprime : « En se basant sur les premiers éléments de l’enquête, il n’y a aucune preuve que les informations de connexion ont été obtenues auprès de GM lui-même. Nous pensons que les acteurs malveillants ont eu accès aux identifiants de connexion des clients sur d’autres sites compromis. Les hackers ont ensuite réutilisé ces identifiants sur le compte GM du client ».
General Motors recommande vivement à ses clients de réinitialiser leur mot de passe. Par ailleurs, les responsables indiquent qu’il est tout aussi nécessaire que les victimes se renseignent auprès de leurs banques pour s’assurer qu’il n’y ait pas de transactions suspectes. Les pirates pourraient en effet se servir de ces données volées pour mener des campagnes d’escroquerie.
Cet article États-Unis : le constructeur automobile General Motors victime d’un credential stuffing a été publié sur LeBigData.fr.