豐田汽車公司日前披露了一起云環(huán)境數(shù)據(jù)暴露事件,包括近十年的車輛位置信息、近七年的車外視頻記錄等敏感數(shù)據(jù),影響了超200萬輛汽車。
安全內(nèi)參5月15日消息,豐田汽車公司披露了一起云環(huán)境數(shù)據(jù)暴露事件,從2013年11月6日至2023年4月17日十年間,共有215萬客戶的車輛位置信息持續(xù)暴露。
根據(jù)豐田公司日本新聞編輯室發(fā)布的安全通告,此次事件是因為數(shù)據(jù)庫配置錯誤,任何人無需密碼即可訪問泄露內(nèi)容。
通告稱,“由于云環(huán)境配置錯誤,豐田汽車公司委托豐田互聯(lián)公司管理的部分數(shù)據(jù)已被公開?!?/span>
“發(fā)現(xiàn)該事件后,我們已采取措施防止外部訪問,目前仍在繼續(xù)開展調(diào)查,包括由豐田互聯(lián)公司管理的所有云環(huán)境。對于給我們客戶和相關(guān)方造成的極大不便和擔憂,我們深表歉意?!?/span>
暴露信息包括車輛位置及視頻
此次事件暴露了2012年1月2日至2023年4月17日期間,使用豐田T-Coneect G-Link、G-Link Lite及G-BOOK服務(wù)的客戶信息。
T-Connect是豐田公司的車載智能服務(wù),包括語音輔助、客戶服務(wù)支持、汽車狀態(tài)與管理,以及道路緊急救援等功能。
數(shù)據(jù)庫配置錯誤所暴露的具體信息涵蓋:
-
車載GPS導航終端ID號;
-
車架編號;
-
帶有時間數(shù)據(jù)的車輛位置信息。
盡管沒有證據(jù)表明數(shù)據(jù)被濫用,但未經(jīng)授權(quán)的用戶可能已經(jīng)訪問到這批歷史數(shù)據(jù),從而掌握215萬輛豐田汽車的實時位置。
值得注意的是,暴露的詳細信息中不涉及個人身份信息,因此除非攻擊者知曉目標車輛的VIN(車輛識別碼),否則無法使用此數(shù)據(jù)來跟蹤具體個人。
汽車的VIN碼也稱車架號,獲取難度并不算高,因此理論上具有惡意動機并能夠物理接觸目標車輛的人,完全可以利用這十年間的暴露數(shù)據(jù)實現(xiàn)車輛跟蹤。
豐田在“Toyota Connected”網(wǎng)站上發(fā)布的第二份聲明,還提到車外拍攝的視頻記錄在此次事件中暴露的可能性。
視頻記錄的潛在暴露周期在2016年11月14日至2023年4月4日,前后持續(xù)近七年。
同樣,這些視頻的暴露不會嚴重影響車主隱私,但實際后果仍取決于條件、時間和地點等因素。
豐田公司承諾向受到影響的客戶單獨發(fā)送致歉通知,并設(shè)立專門的呼叫中心來處理這部分車主的查詢和請求。
2022年10月,豐田曾就另一起長期數(shù)據(jù)暴露事件向客戶發(fā)出通報,原因是其在公共GitHub庫上公開了T-Connect客戶數(shù)據(jù)庫的訪問密鑰。
受到該起事件影響的客戶總計29.6019萬名,在豐田公司阻斷對相關(guān)GitHub庫的外部未授權(quán)訪問后,事件周期最終定格在了2017年12月至2022年9月15日。