丰田用户注意，小心被“网路钓鱼”

近日，日本汽车巨头丰田表示，其意大利办事处的安全漏洞可能已经暴露了客户数据。

在给 The Record 的一份声明中，丰田汽车北美发言人 Corey Proffitt 证实了Cybernews 的调查结果，Cybernews 是一家网络安全研究机构，该机构于 2 月 14 日在意大利丰田官方网站上发现了一个环境文件 (.env)。

该环境文件于2021 年 5 月 21 日首次被物联网 (IoT) 搜索引擎编入索引，这意味着很多人都可以进行公开访问。

根据 Cybernews 研究团队的说法，该环境文件泄露的原因是，丰田意大利数字营销自动化和分析软件服务提供商 Salesforce Marketing Cloud公开了用户账户凭证访问权限。黑客获取了Salesforce Marketing Cloud公司的权限，并借此访问丰田意大利用户的账户凭证。

通过账户凭证，攻击者顺势访问到了用户的电话号码、电子邮件地址、客户跟踪信息以及电子邮件、短信和推送通知内容。同时这些凭据可以进一步被用来发送虚假的SMS消息、电子邮件、编辑&启动营销活动、创建自动化脚本、编辑与 Salesforce 营销云相关的内容，甚至向丰田的客户发送推送通知。

此外，丰田意大利还泄露了软件公司 Mapbox 的应用程序编程接口 (API) 令牌。虽然这部分数据不像 Salesforce Marketing Cloud 账号凭证那么敏感，但是攻击者可能会滥用它来查询大量请求并增加丰田 API 使用的成本。

Proffitt 说：“在 Cybernews 团队通知丰田汽车意大利公司其 IT 环境中存在网络安全漏洞后，该公司立即采取了一切必要措施来纠正因未能遵守我们公司的数据安全政策而导致的情况。目前已经采取了一套额外的对策来恢复和加强我们的网络安全系统和协议。我们已向有关当局报告了这种数据隐私风险，并全力配合正在进行的调查。”

Proffitt 补充说，丰田正在对其网络安全系统进行更广泛的调查，以“防止类似事件再次发生”。

该事件发生在一系列影响汽车公司的数据泄露事件中。1 月，勒索软件攻击者因对英国最大的汽车经销商之一Arnold Clark的攻击而受到赞扬。当汽车经销商拒绝支付赎金时，该团伙泄露了国家保险号码（相当于美国的社会保险号码）和护照数据，以及地址和电话号码。

2022 年 2 月，来自现已解散的 Hive 组织的勒索软件攻击者攻击了欧洲最大的汽车经销商之一埃米尔弗雷，上周法国的一家宝马经销商也遭到勒索软件攻击。路透社上周报道称，特斯拉员工正在共享从客户车辆内的摄像头收集的数据。