Hertz alerta: Dados pessoais e CNH de clientes são roubados em violação de dados
A gigante do aluguel de carros, Hertz, começou a notificar seus clientes sobre uma violação de dados que incluiu suas informações pessoais e carteiras de motorista. A empresa de aluguel, que também é dona das marcas Dollar e Thrifty, disse em comunicados em seu site que a violação está relacionada a um ataque cibernético em um de seus fornecedores entre outubro de 2024 e dezembro de 2024.
Os dados roubados variam de acordo com a região, mas incluem principalmente nomes dos clientes da Hertz, datas de nascimento, informações de contato, carteiras de motorista, informações de cartões de pagamento e reivindicações de compensação de trabalhadores. A Hertz disse que um número menor de clientes teve seus números de Seguro Social roubados na violação, juntamente com outros números de identificação emitidos pelo governo. Os comunicados nos sites da Hertz divulgaram a violação aos clientes na Austrália, Canadá, União Europeia, Nova Zelândia e Reino Unido. A Hertz também divulgou a violação com vários estados dos EUA, incluindo Califórnia, Maine e Texas. A Hertz disse que pelo menos 3.400 clientes em Maine foram afetados, e cerca de 96.665 clientes no Texas, mas nenhum dos estados listou o número total de indivíduos afetados, que provavelmente é significativamente maior.
Emily Spencer, uma porta-voz da Hertz, não forneceu ao TechCrunch um número específico de indivíduos afetados pela violação, mas disse que seria “impreciso dizer que milhões” de clientes foram afetados. A empresa atribuiu a violação a um fornecedor, o fabricante de software Cleo, que no ano passado esteve no centro de uma campanha de hacking em massa por uma prolífica gangue de ransomware vinculada à Rússia. A Hertz é uma das dezenas de empresas que usaram o software da Cleo no momento de seus roubos de dados. A gangue de ransomware Clop afirmou no ano passado ter explorado uma vulnerabilidade zero-day nos produtos de transferência de arquivos corporativos amplamente utilizados da Cleo, que permitem às empresas compartilhar grandes conjuntos de dados sensíveis pela internet. Ao violar esses sistemas, os hackers roubaram enormes quantidades de dados dos clientes corporativos da Cleo.
Pouco depois, a gangue de ransomware Clop afirmou em seu site de vazamento na dark web que roubou dados de quase 60 empresas, explorando a falha em seus sistemas Cleo. Em uma postagem posterior, Clop reivindicou dezenas de outras supostas vítimas corporativas. A campanha de extorsão de dados se tornou um dos hacks em massa mais notáveis de 2024.
Na época, a Hertz, que estava listada no site do Clop, disse que não tinha “evidências” de que os dados da Hertz ou os sistemas da Hertz foram afetados. Na segunda-feira, um porta-voz da Hertz disse ao TechCrunch que não encontrou evidências de que a rede própria da Hertz tenha sido afetada pela violação, mas confirmou que os dados da Hertz “foram adquiridos por uma terceira parte não autorizada que entendemos ter explorado vulnerabilidades zero-day na plataforma da Cleo entre outubro de 2024 e dezembro de 2024.” Um executivo da Cleo não respondeu à consulta do TechCrunch na segunda-feira. Atualizado em 15 de abril com um novo registro de violação no Texas.
