Ferramenta de pesquisa de contrato do cliente U-Haul comprometida

A U-Haul disse que os invasores conseguiram comprometer duas senhas individuais e acessar a ferramenta de contrato do cliente da empresa, expondo nomes de clientes e carteira de motorista ou números de identificação estadual.

Os invasores tiveram acesso não autorizado de 5 de novembro de 2021 a 5 de abril de 2022, disse a U-Haul. Assim que a violação foi descoberta, a U-Haul alterou as senhas afetadas e iniciou uma investigação, explicou a empresa em 9 de setembro.

“A investigação determinou que uma pessoa não autorizada acessou a ferramenta de busca de contratos de clientes e alguns contratos de clientes”, de acordo com Aviso da U-Haul sobre o incidente de segurança cibernética. “Nenhum dos nossos sistemas financeiros, de processamento de pagamentos ou de e-mail U-Haul estava envolvido; o acesso foi limitado à ferramenta de busca de contratos de clientes.”

Segurança de senha do U-Haul analisada

Especialistas como Sami Elhini, do Cerberus Sentinel, criticaram a falta de segurança de senha do U-Haul.

“Em última análise, este é um problema de gerenciamento de identidade”, explicou Elhini em comunicado enviado por e-mail. “Determinar que você tem uma identidade resolvida com base em uma autenticação de um fator bem-sucedida não é apenas uma ignorância feliz, mas também uma negligência potencialmente civil e criminal.”

Lior Yaari, CEO da Grip Security também foi fulminante em sua avaliação da segurança cibernética do U-Haul.

“As senhas comprometidas neste ataque U-Haul claramente não foram governadas ou protegidas adequadamente”, disse Yaari em comunicado enviado por e-mail. “Provavelmente existem outras senhas que já podem ter sido comprometidas, das quais a U-Haul e centenas de outras empresas desconhecem e das quais não tomarão conhecimento, até que ocorra outra violação como esta.”  

Melhorando as proteções por senha

Embora a abordagem precisa possa variar entre setores e organizações, Yaari disse que a indústria precisa parar de repetir os mesmos erros e de confiar nos funcionários como uma defesa eficaz contra ataques cibernéticos.

“As salvaguardas adicionais que as empresas adotam para evitar o comprometimento de senhas provavelmente falharão, e esse tipo de violação será repetido continuamente”, acrescentou Yaari. “Em vez de adicionar mais band-aids, a indústria precisa adotar uma nova abordagem que elimine o fardo de proteger as senhas dos funcionários.”