Toyota Motor Corporation ha revelado una violación de datos en su entorno en la nube que ha expuesto la información de localización de los coches de 2.150.000 clientes durante diez años, entre el 6 de noviembre de 2013 y el 17 de abril de 2023. El problema se debió a un error humano que hizo que un sistema en la nube de Toyota se configurara como público en lugar de privado.

El incidente, que también afectó a los clientes de su marca de lujo Lexus, se produce en un momento en que el mayor fabricante de automóviles del mundo por ventas da un impulso a la conectividad de los vehículos y a la gestión de datos basada en la nube, que se consideran cruciales para ofrecer la conducción autónoma y otras funciones respaldadas por la inteligencia artificial.

Según un aviso de seguridad publicado en la redacción japonesa de la compañía, la violación de datos se produjo por una mala configuración de la base de datos que permitía a cualquiera acceder a su contenido sin contraseña.

"Se descubrió que parte de los datos que Toyota Motor Corporation había confiado a Toyota Connected Corporation para su gestión se habían hecho públicos debido a una mala configuración del entorno de la nube", se lee en el aviso.

• https://global.toyota/jp/newsroom/corporate/39174380.html

"Tras el descubrimiento de este asunto, hemos implementado medidas para bloquear el acceso desde el exterior, pero seguimos llevando a cabo investigaciones, incluyendo todos los entornos en la nube gestionados por TC. Pedimos disculpas por causar grandes molestias y preocupación a nuestros clientes y partes relacionadas."

Este incidente expuso la información de los clientes que utilizaron los servicios T-Connect G-Link, G-Link Lite o G-BOOK de la compañía entre el 2 de enero de 2012 y el 17 de abril de 2023.

Toyota Connected (T-Connect) y G-Link de Lexus

T-Connect es el servicio inteligente de Toyota en el automóvil para asistencia por voz, atención al cliente, estado y gestión del vehículo y ayuda de emergencia en carretera.

La información expuesta en la base de datos mal configurada incluye

•     el número de identificación del terminal de navegación GPS del vehículo,
•     el número de chasis, e
•     información sobre la ubicación del vehículo con datos horarios.

Aunque no hay pruebas de que se hiciera un uso indebido de los datos, usuarios no autorizados podrían haber accedido a los datos históricos y posiblemente a la localización en tiempo real de 2,15 millones de coches Toyota.

Es importante señalar que los detalles expuestos no constituyen información de identificación personal, por lo que no sería posible utilizar esta filtración de datos para rastrear a personas a menos que el atacante conociera el número de bastidor (VIN) del coche de su objetivo.

El VIN de un coche, también conocido como número de chasis, es fácilmente accesible, por lo que alguien con suficiente motivación y acceso físico al coche de un objetivo podría, en teoría, haber explotado la fuga de datos de una década para rastrear su ubicación.

Un segundo comunicado de Toyota publicado en el sitio japonés "Toyota Connected" también menciona la posibilidad de que las grabaciones de vídeo tomadas fuera del vehículo hayan quedado expuestas en este incidente.

• https://company.toyotaconnected.co.jp/news/press/2023/0512/

El periodo de exposición de estas grabaciones se definió entre el 14 de noviembre de 2016 y el 4 de abril de 2023, es decir, casi siete años.

De nuevo, la exposición de estos vídeos no afectaría gravemente a la privacidad de los propietarios de los vehículos, pero esto depende de las condiciones, el momento y la ubicación.

Toyota ha prometido enviar notificaciones individuales de disculpa a los clientes afectados y crear un centro de llamadas específico para atender sus consultas y peticiones.

En octubre de 2022, Toyota informó a sus clientes de otra larga violación de datos de casi 300.000 clientes resultante de la exposición de una clave de acceso a la base de datos de clientes de T-Connect en un repositorio público de GitHub.

Esto permitió a un tercero no autorizado acceder a los datos de 296.019 clientes entre diciembre de 2017 y el 15 de septiembre de 2022, cuando el acceso externo no autorizado al repositorio de GitHub estaba restringido.

Fuentes:

https://www.bleepingcomputer.com/news/security/toyota-car-location-data-of-2-million-customers-exposed-for-ten-years/