بیش از ۱۰۰ هزار نفر قربانی سرقت اطلاعات از شرکت هرتز

به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، شرکت هرتز (Hertz)، که مالک برند معروف خود به همین نام و همچنین برندهای بزرگی مانند دلار (Dollar) و تریفتی (Thrifty) است، هفته گذشته وقوع یک نفوذ اطلاعاتی را به نهادهای نظارتی ایالتی در کالیفرنیا، آیووا، مین، تگزاس و ورمانت گزارش کرد.

این شرکت تعداد کل افراد آسیب‌دیده در سراسر کشور را به نهادهای ایالتی گزارش نداد؛ در حالی که ایالت مین معمولاً این اطلاعات را جمع‌آوری می‌کند.

سخنگوی شرکت هرتز نیز از اعلام تعداد دقیق افراد تحت تأثیر قرار گرفته خودداری کرد و تنها بیان کرد:

بی‌دقتی است اگر گفته شود میلیون‌ها مشتری تحت تأثیر قرار گرفته‌اند.

در اطلاعیه‌ای که به ایالت تگزاس ارسال شده، آمده که ۹۶٬۶۶۵ نفر از ساکنان این ایالت تحت تأثیر قرار گرفته‌اند و در ایالت مین این تعداد ۳٬۴۰۹ نفر بوده است؛ به این معنی که تعداد کل افراد آسیب‌دیده در سراسر کشور ممکن است ده‌ها هزار نفر بیشتر باشد.

نرم‌افزار آسیب‌پذیر در این حادثه، پلتفرم اشتراک فایل کلئو (Cleo) بوده است.

هرتز طی یک اظهارنظر و همچنین در نامه‌های اطلاع‌رسانی به قربانیان، توضیح داد که از کلئو برای اهداف محدود استفاده می‌کند، اما در فوریه ۲۰۲۵ متوجه شده که هکرها از یک آسیب‌پذیری روز صفر در این نرم‌افزار، در اکتبر و دسامبر ۲۰۲۴ سوءاستفاده کرده‌اند.

اطلاعات به سرقت‌رفته شامل اطلاعات تماس، اطلاعات کارت پرداخت، گواهینامه رانندگی و اطلاعات مرتبط با درخواست‌های جبران خسارت کاری بوده است.

برخی دیگر نیز قربانی افشای شماره تأمین اجتماعی، کارت‌های شناسایی دولتی، گذرنامه، شناسه مدیکر (Medicare) یا مدیکید (Medicaid) یا اطلاعات مربوط به جراحات در تصادفات رانندگی شده‌اند.

هرتز اعلام کرد که این حادثه را به مراجع قانونی گزارش داده و برای قربانیان، خدمات محافظت از هویت به مدت دو سال از طریق شرکت کرول (Kroll) ارائه می‌کند.

اطلاع‌رسانی به قربانیان از تاریخ ۱۱ آوریل از طریق ایمیل، نامه‌های هشدار و اطلاعیه‌هایی در وب‌سایت شرکت آغاز شده است.

سخنگوی شرکت اظهار کرد که بررسی‌های قانونی نشان داده که شبکه داخلی هرتز از لحاظ فنی هرگز مورد نفوذ قرار نگرفته است.

با این حال، وی افزود:

در میان شرکت‌های متعددی که تحت تأثیر این رویداد قرار گرفته‌اند، ما تأیید کرده‌ایم که داده‌های شرکت هرتز توسط یک شخص ثالث غیرمجاز به‌دست آمده است؛ کسی که ظاهراً از آسیب‌پذیری‌های روز صفر در پلتفرم کلئو در اکتبر و دسامبر ۲۰۲۴ سوءاستفاده کرده است.

در دو ماه گذشته، شرکت‌های متعددی اعلام کرده‌اند که تحت تأثیر این آسیب‌پذیری در کلئو قرار گرفته‌اند.

دو هفته پیش، شرکت بزرگ تولید مواد غذایی دابلیو کی کیلاگ (WK Kellogg) تأیید کرد که اطلاعات کارکنانش از طریق همین آسیب‌پذیری به سرقت رفته است.

ماه گذشته نیز بانک وسترن ایلینس (Western Alliance) در فونیکس اعلام کرد که اطلاعات بیش از ۲۰ هزار نفر از طریق نسخه کلئو این بانک سرقت شده است.

در ماه اکتبر، گروه باج‌افزاری کلوپ (Clop) نام شرکت هرتز را در فهرست صدها سازمانی قرار داد که مدعی شده بود از آسیب‌پذیری کلئو سوءاستفاده کرده است.

شرکت‌های بزرگی مانند هیولت پکارد انترپرایز (Hewlett Packard Enterprise) و تامسون رویترز (Thomson Reuters) نیز که زیرمجموعه لگال ترکر (Legal Tracker) آن‌ها نیز نام‌برده شده، یا تأیید کرده‌اند که دچار نفوذ محدودی شده‌اند یا اعلام کرده‌اند در حال بررسی موضوع هستند.