ShinyHunters atribui filtração massiva em CarGurus que expõe dados de milhões de usuários

Na madrugada de 21 de fevereiro, foi filtrado na web dark e em fóruns públicos um arquivo de cerca de 6,1 GB que, segundo a própria publicação, continha mais de 12 milhões de registros vinculados a usuários do CarGurus, a plataforma digital americana para procurar, comparar e contactar vendedores de veículos novos e de ocasião. Se a atribuição for confirmada, estaríamos perante uma das mais importantes fugas em massa que afectam um serviço com dezenas de milhões de visitas mensais, e com isso a uma grande quantidade de informações sensíveis sobre compradores, vendedores e concessionários.

A base de dados apresentada foi adicionada pelo serviço de monitoramento Have I Been Pwned (HIBP), que mantém um repositório público de incidentes e permite às pessoas verificar se seus e-mails foram expostos. A HIBP listou o incidente em sua página dedicada ao CarGurus e, segundo suas observações iniciais, o conjunto inclui desde endereços de e-mail e números de telefone até endereços físicos, identificadores de conta, dados relacionados com pedidos de pré-qualificação financeira e resultados desses pedidos, e ainda detalhes de contas de concessionários e assinaturas. A ficha em HIBP pode ser consultada aqui: Have I Been Pwned — CarGurus.

Uma clarificação importante: CarGurus ainda não emitiu um comunicado público confirmando uma intrusão em seus sistemas nem atendeu pedidos de comentários de vários meios. No entanto, a HIBP costuma realizar verificações básicas sobre a autenticidade das amostras antes de incorporar um dataset em seu índice, o que traz algo de verossimilhança ao achado. Além disso, em um tuit HIBP observou que cerca de 70% desses registros já constavam em sua base por incidentes prévios, de modo que os dados “novos” rondariam os 3,7 milhões de contas –detalle que HIBP informou publicamente –: comunicado em X/Twitter de HIBP.

A publicação foi atribuída ao grupo conhecido como ShinyHunters, um agrupamento que nos últimos anos tem cobrado notoriedade por reclamar a autoria de múltiplas fugas e por empregar táticas de extorsão quando não obtém o que exige. Entre os incidentes recentemente atribuídos estão brechas em empresas de setores variados, desde telecomunicações e tecnologia publicitária até marcas de moda, serviços de restauração e plataformas de música. Para pesquisadores e responsáveis pela segurança é claro que a atividade do grupo não é pontual: ShinyHunters se especializado em exfiltrar dados e, quando a negociação fracassou, publicar os registros para forçar ou punir a vítima.

Quanto à metodologia, os relatórios de análise de incidentes que relacionam ShinyHunters apontam que muitas intrusões começam com engenharia social: chamadas dirigidas a funcionários, técnicas de voice phishing e links para páginas de captura de credenciais que permitem acessar serviços SaaS corporativos. A partir daí, os atacantes costumam aproveitar acessos a plataformas como Salesforce, Okta ou Microsoft 365 para navegar e extrair tabelas de clientes. Por vezes, usaram aplicações OAuth maliciosas que, uma vez autorizadas por um usuário desprevenido, concedem acesso a nível de API a dados internos, o que facilita uma extração maciça sem necessidade de explorar vulnerabilidades técnicas complexas.

A disponibilidade pública do arquivo levanta riscos imediatos para as pessoas afetadas. Com e-mails, telefones, endereços e detalhes financeiros parciais, os atacantes podem projetar campanhas de phishing altamente personalizadas, executar fraudes direcionadas, tentar ataques de SIM swap para sequestrar números de telefone ou, no pior dos casos, montar suplantações de identidade para operações financeiras. A informação filtrada não só facilita fraudes oportunistas, mas também reduz as barreiras para ataques mais sofisticados e dirigidos.

Se você é usuário do CarGurus ou acha que sua informação poderia estar no lote, convém agir com prudência e rapidez. Primeiro, veja HIBP se o seu e-mail aparecer na lista e tomar nota de qualquer indicador que você encontre. Abaixo, verifique movimentos incomuns nas suas contas financeiras e ativa ou reforça a autenticação de dois fatores nos serviços que você usa; quando possível, evita métodos baseados apenas em SMS e opta por autenticadores por app ou chaves físicas. Não ignore chamadas ou mensagens que peçam a confirmação de dados pessoais ou dirijam-se a links inesperados; antes de seguir qualquer instrução, contacta diretamente a entidade através de canais oficiais. Em paralelo, convém mudar senhas se você compartilha credenciais entre diferentes serviços e, se você gerencia dados comerciais ou representa um concessionário, coloque em alerta a sua equipe de segurança para auditar acessos e revisar possíveis integrações SaaS comprometidas.

Para as empresas, o episódio é um lembrete de que a defesa passa por uma combinação de tecnologia e formação. Para além de sistemas e controlos de acesso, É imprescindível investir em consciência contra a engenharia social, revisar permissões OAuth e monitorar padrões de extração anormais em APIs e contas com privilégios. Os prestadores de serviços devem também ter processos claros de comunicação com utilizadores e reguladores quando houver suspeita de exposição maciça de dados.

Este evento também levanta questões sobre a responsabilização e a transparência: quando plataformas com grande volume de tráfego e dados pessoais estão envolvidas em vazamentos, clientes e autoridades reguladoras esperam explicações detalhadas e medidas concretas. Enquanto CarGurus não publica sua própria pesquisa forense, a comunidade de cibersegurança continuará com base em amostras públicas e em análises externas para avaliar o alcance real do dano.

Em última análise, os ataques como o atribuído a ShinyHunters lembram que os dados pessoais continuam a ter um mercado e que qualquer informação exposta pode tornar-se munição para fraudes. A melhor defesa é a precaução: verificar, atualizar, monitorar e não assumir que um e-mail ou uma chamada é legítima apenas porque parece vir de uma empresa conhecida.

Referências e leituras recomendadas: o registro de Have I Been Pwned sobre CarGurus está aqui, e o relatório de mídia especializada que documentou o aparecimento do arquivo pode ser consultado em BleepingComputer ( BleepingComputer — Notícias relacionadas), além do tuit informativo da HIBP nesta ligação.