CarGurus, situs jual beli kendaraan online, mengalami kebocoran data besar-besaran yang menyebabkan nama, email, nomor telepon, dan alamat fisik jutaan pelanggan bocor. Situs notifikasi pelanggaran data, Have I Been Pwned, melaporkan bahwa sekitar 12,5 juta akun CarGurus terkena dampaknya. Data pelanggan yang bocor juga termasuk aplikasi pembiayaan dan akun dealer.
Kelompok hacker yang diduga bertanggung jawab adalah ShinyHunters, yang dikenal ahli dalam teknik rekayasa sosial, seperti mengelabui helpdesk dengan berpura-pura menjadi pegawai yang meminta reset password. Metode ini tidak hanya digunakan pada CarGurus tapi juga berbagai organisasi besar lainnya.
ShinyHunters sebelumnya pernah membobol data lebih dari satu miliar pengguna Salesforce, dan mengklaim berhasil melakukan peretasan pada Pornhub serta perusahaan fintech Figure. Mereka memiliki reputasi sebagai kelompok peretas yang sangat berbahaya dan sistematis.
Kebocoran ini merupakan kasus kedua dalam waktu dekat yang dialami oleh perusahaan otomotif setelah insiden serupa melibatkan CarMax, di mana data lebih dari 431.000 alamat email pelanggan juga bocor akibat upaya pemerasan gagal yang dilakukan terhadap perusahaan tersebut.
Para pelanggan CarGurus diimbau untuk meningkatkan kewaspadaan dengan mengganti kata sandi dan memantau aktivitas akun mereka agar terhindar dari potensi penyalahgunaan data pribadi. Perusahaan juga didorong untuk memperkuat sistem keamanan dan melakukan investigasi mendalam atas kebocoran ini.