丰田泄露超200万辆汽车敏感数据：实时位置暴露近10年

前情回顾·数据泄露狂潮

【资料图】

英国最大外包公司云泄露655GB数据，客户包括多个部委政府

现代汽车发生数据泄露事件，欧洲多国车主受影响

欧洲汽车经销商巨头遭勒索攻击，客户个人数据全部泄露

安全内参5月15日消息，丰田汽车公司披露了一起云环境数据暴露事件，从2013年11月6日至2023年4月17日十年间，共有215万客户的车辆位置信息持续暴露。

根据丰田公司日本新闻编辑室发布的安全通告，此次事件是因为数据库配置错误，任何人无需密码即可访问泄露内容。

通告称，“由于云环境配置错误，丰田汽车公司委托丰田互联公司管理的部分数据已被公开。”

“发现该事件后，我们已采取措施防止外部访问，目前仍在继续开展调查，包括由丰田互联公司管理的所有云环境。对于给我们客户和相关方造成的极大不便和担忧，我们深表歉意。”

暴露信息包括车辆位置及视频

此次事件暴露了2012年1月2日至2023年4月17日期间，使用丰田T-Coneect G-Link、G-Link Lite及G-BOOK服务的客户信息。

T-Connect是丰田公司的车载智能服务，包括语音辅助、客户服务支持、汽车状态与管理，以及道路紧急救援等功能。

数据库配置错误所暴露的具体信息涵盖：

车载GPS导航终端ID号；

车架编号；

带有时间数据的车辆位置信息。

尽管没有证据表明数据被滥用，但未经授权的用户可能已经访问到这批历史数据，从而掌握215万辆丰田汽车的实时位置。

值得注意的是，暴露的详细信息中不涉及个人身份信息，因此除非攻击者知晓目标车辆的VIN（车辆识别码），否则无法使用此数据来跟踪具体个人。

汽车的VIN码也称车架号，获取难度并不算高，因此理论上具有恶意动机并能够物理接触目标车辆的人，完全可以利用这十年间的暴露数据实现车辆跟踪。

丰田在“Toyota Connected”网站上发布的第二份声明，还提到车外拍摄的视频记录在此次事件中暴露的可能性。

视频记录的潜在暴露周期在2016年11月14日至2023年4月4日，前后持续近七年。

同样，这些视频的暴露不会严重影响车主隐私，但实际后果仍取决于条件、时间和地点等因素。

丰田公司承诺向受到影响的客户单独发送致歉通知，并设立专门的呼叫中心来处理这部分车主的查询和请求。

2022年10月，丰田曾就另一起长期数据暴露事件向客户发出通报，原因是其在公共GitHub库上公开了T-Connect客户数据库的访问密钥。

受到该起事件影响的客户总计29.6019万名，在丰田公司阻断对相关GitHub库的外部未授权访问后，事件周期最终定格在了2017年12月至2022年9月15日。

参考资料：bleepingcomputer.com

标签：