近日，通用汽车表示，他们在今年4月11日至29日期间检测到恶意登录活动。针对这一事件，通用汽车也及时给受影响的客服发了邮件，告知了客户。为弥补失去的客户，通用汽车表示将恢复所有受事件影响的客户的奖励积分。但根据调查，这些违规行为并不是通用汽车遭到黑客攻击的结果，而是针对其平台上客户的一波撞库攻击。崩溃填充是指黑客在互联网上收集泄露的用户和密码信息，生成相应的字典表，并尝试批量登录其他网站，以获得一系列可以登录的用户。经过后续调查，GM表示目前没有证据表明登录信息是从GM本身获得的，并且“未经授权的用户获得了之前泄露在其他非GM网站上的客户登录凭据，然后将这些凭据重新用于客户的GM帐户。”通用汽车要求受影响的用户在重新登录帐户之前重置密码。个人信息泄露当黑客成功入侵用户的GM帐户时，他们可以访问存储在网站上的某些信息。此信息包括以下个人详细信息：名字和姓氏、个人电子邮件地址、个人地址、与帐户关联的注册家庭成员的用户名和电话号码、最后已知和保存的最喜欢的位置、当前OnStar订阅套餐（如果适用）、家庭会员的个人资料图片和照片（如果已上传）、个人资料图片、搜索和目的地信息。黑客在入侵通用汽车账户时可以获得的其他信息包括汽车的里程历史、服务历史、紧急联系人、Wi-Fi热点设置（包括密码）等等。但这些账户不包含出生日期、社会安全号码、驾照号码、信用卡信息或银行账户信息，因此这些信息都没有泄露。除了重置密码外，通用汽车还建议受影响的客户向银行索取信用报告，并在必要时冻结账户安全。遗憾的是，通用汽车的在线网站不支持双因素身份验证，因此其网站无法防止撞库攻击。但是，客户可以通过另一种方式为所有付款操作添加PIN码验证链接。至于受影响的客户数量，通用汽车只向加州总检察长办公室提交了一份通知样本，因此我们只知道该州受影响的客户数量不到5,000人。参考来源：https://www.bleepingcomputer.com/news/security/gm-credential-stuffing-attack-exposed-car-owners-personal-info/
