近期，通用汽車表示他們在今年4月11日至29日期間檢測到了惡意登錄活動，經(jīng)調(diào)查后發(fā)現(xiàn)黑客在某些情況下將客戶獎勵積分兌換為禮品卡，針對此次事件，通用汽車也及時給受影響的客服發(fā)郵件并告知客戶。為了彌補客戶所受損失，通用汽車表示，他們將為所有受此事件影響的客戶恢復獎勵積分。但根據(jù)調(diào)查，這些違規(guī)行為并不是通用汽車被黑客入侵的結果，而是由針對其平臺上的客戶的一波撞庫攻擊引起的。

撞庫是指黑客通過收集網(wǎng)上已泄露的用戶和密碼信息，生成對應的字典表，并嘗試批量登陸其他網(wǎng)站后，得到一系列可以登錄的用戶。經(jīng)后續(xù)的調(diào)查，通用汽車表示目前沒有證據(jù)表明登錄信息是從通用汽車本身獲得的，“未經(jīng)授權的用戶獲得了之前在其他非通用汽車網(wǎng)站上被泄露的客戶登錄憑證的訪問權限，然后在客戶的通用汽車賬戶上重復使用這些憑證?！睂Υ送ㄓ闷囈笫苡绊懙挠脩? 在再次登錄他們的帳戶之前重置他們的密碼。

個人信息暴露

當黑客成功入侵用戶的通用汽車帳戶后，他們可以訪問存儲在該網(wǎng)站上的某些信息。此信息包括以下個人詳細信息：

• 名字和姓氏，
• 個人電子郵件地址，
• 個人地址，
• 與帳戶綁定的注冊家庭成員的用戶名和電話號碼，
• 最后已知和保存的最喜歡的位置信息，
• 當前訂閱的 OnStar 套餐(如果適用)，
• 家庭成員的頭像和照片(如果已上傳)，
• 個人資料圖片，
• 搜索和目的地信息。

黑客入侵通用汽車賬戶時可獲得的其他信息包括汽車里程歷史、服務歷史、緊急聯(lián)系人、Wi-Fi 熱點設置(包括密碼)等。但帳戶里不包含出生日期、社會安全號碼、駕駛執(zhí)照號碼、信用卡信息或銀行帳戶信息，因此這些信息沒有被泄露。

除了重置密碼外，通用汽車還建議受影響的用戶向銀行索取信用報告，如有必要還可進行賬戶安全凍結。不幸的是，通用汽車的在線站點不支持雙重身份驗證，所以其網(wǎng)站無法阻止撞庫攻擊。不過還有一種做法是客戶可以給所有的支付動作添加PIN碼驗證環(huán)節(jié)。至于受影響的客戶數(shù)量，通用汽車只向加州總檢察長辦公室提交了一份通知樣本，因此我們只知道該州受影響的客戶數(shù)量，也就是略低于5,000家。

參考來源：https://www.bleepingcomputer.com/news/security/gm-credential-stuffing-attack-exposed-car-owners-personal-info/