Злоумышленник, действующий под ником zestix, заявил, что взломал инфраструктуру, связанную с американским подразделением Mercedes-Benz (MBUSA), и похитил 18,3 ГБ юридических и клиентских данных. Архив выставлен на продажу на одном из дарквеб-форумов по цене 5000 долларов.
Что якобы попало в руки хакера
Согласно описанию лота, утечка охватывает материалы активных и уже закрытых судебных разбирательств из 48 штатов США. Обнаружила эту публикацию компания ThreatMon, специализирующаяся на мониторинге киберугроз.
По данным ThreatMon, атака была направлена не на саму компанию Mercedes-Benz, а на юридическую инфраструктуру, которая обеспечивает защиту автопроизводителя от потребительских исков по гарантийным обязательствам — в частности, дел, связанных с федеральным законом Magnuson-Moss Warranty Act и калифорнийским Song-Beverly Consumer Warranty Act.
Хакер утверждает, что в архиве содержится «каждая линия защиты, ставки оплаты внешних юристов и политика урегулирования споров», которые Mercedes-Benz использует в судебных процессах на территории США. Помимо этого в дампе якобы присутствуют персональные данные (PII) клиентов автопроизводителя.
Риски для клиентов и партнёров
Помимо материалов судебных дел, в утечке фигурируют конфиденциальные шаблоны и формы MBUSA, а также анкеты новых поставщиков (New Vendor Questionnaire forms), содержащие банковские реквизиты. Эксперты отмечают, что именно эти данные представляют дополнительную опасность: они могут быть использованы для компрометации деловой переписки (BEC) и финансового мошенничества против сети поставщиков автопроизводителя.
Инцидент — очередное напоминание о рисках цепочки поставок: скомпрометирован оказался не сам Mercedes-Benz, а сторонний юридический подрядчик, обрабатывавший чувствительные корпоративные и потребительские данные. Ранее, в 2021 году, у MBUSA уже случалась утечка — тогда из-за неправильно настроенного облачного хранилища данные почти тысячи клиентов оказались в открытом доступе. Нынешний инцидент, если он подтвердится, отличается тем, что бьёт по юридической цепочке поставок, а не по собственной корпоративной инфраструктуре компании.
Официальной реакции пока нет
На момент публикации ни Mercedes-Benz USA, ни юридическая фирма Burris & MacOmber LLP не подтвердили подлинность выложенных данных. Аналитики по безопасности рекомендуют клиентам, у которых недавно были гарантийные споры с автопроизводителем, следить за своей кредитной историей и быть настороже в отношении фишинговых писем, ссылающихся на детали их дел.
Источник: Cybersecurity News.