豐田用戶注意，小心被“網路釣魚”

近日，日本汽車巨頭豐田表示，其意大利辦事處的安全漏洞可能已經暴露了客戶數據。

在給 The Record 的一份聲明中，豐田汽車北美發言人 Corey Proffitt 證實了Cybernews 的調查結果，Cybernews 是一家網絡安全研究機構，該機構于 2 月 14 日在意大利豐田官方網站上發現了一個環境文件 (.env)。

該環境文件于2021 年 5 月 21 日首次被物聯網 (IoT) 搜索引擎編入索引，這意味著很多人都可以進行公開訪問。

根據 Cybernews 研究團隊的說法，該環境文件泄露的原因是，豐田意大利數字營銷自動化和分析軟件服務提供商 Salesforce Marketing Cloud公開了用戶賬戶憑證訪問權限。黑客獲取了Salesforce Marketing Cloud公司的權限，并借此訪問豐田意大利用戶的賬戶憑證。

通過賬戶憑證，攻擊者順勢訪問到了用戶的電話號碼、電子郵件地址、客戶跟蹤信息以及電子郵件、短信和推送通知內容。同時這些憑據可以進一步被用來發送虛假的SMS消息、電子郵件、編輯&啟動營銷活動、創建自動化腳本、編輯與 Salesforce 營銷云相關的內容，甚至向豐田的客戶發送推送通知。

此外，豐田意大利還泄露了軟件公司 Mapbox 的應用程序編程接口 (API) 令牌。雖然這部分數據不像 Salesforce Marketing Cloud 賬號憑證那么敏感，但是攻擊者可能會濫用它來查詢大量請求并增加豐田 API 使用的成本。

Proffitt 說：“在 Cybernews 團隊通知豐田汽車意大利公司其 IT 環境中存在網絡安全漏洞后，該公司立即采取了一切必要措施來糾正因未能遵守我們公司的數據安全政策而導致的情況。目前已經采取了一套額外的對策來恢復和加強我們的網絡安全系統和協議。我們已向有關當局報告了這種數據隱私風險，并全力配合正在進行的調查。”

Proffitt 補充說，豐田正在對其網絡安全系統進行更廣泛的調查，以“防止類似事件再次發生”。

該事件發生在一系列影響汽車公司的數據泄露事件中。1 月，勒索軟件攻擊者因對英國最大的汽車經銷商之一Arnold Clark的攻擊而受到贊揚。當汽車經銷商拒絕支付贖金時，該團伙泄露了國家保險號碼（相當于美國的社會保險號碼）和護照數據，以及地址和電話號碼。

2022 年 2 月，來自現已解散的 Hive 組織的勒索軟件攻擊者攻擊了歐洲最大的汽車經銷商之一埃米爾弗雷，上周法國的一家寶馬經銷商也遭到勒索軟件攻擊。路透社上周報道稱，特斯拉員工正在共享從客戶車輛內的攝像頭收集的數據。