Um arquivo de 6,1 GB com 12,4 milhões de contas foi publicado como sendo da CarGurus.
O grupo diz ter obtido credenciais de login único por telefone, se passando por equipe de TI. A empresa não confirmou o vetor nem se pronunciou.
Vishing alegadoEm 21 de fevereiro de 2026, o grupo de extorsão ShinyHunters publicou um arquivo de 6,1 GB com 12,4 milhões de registros que atribui à CarGurus, plataforma norte-americana de compra e venda de veículos. O conjunto inclui e-mails, nomes completos, telefones, endereços, identificadores de conta e dados de pré-qualificação de financiamento.
O grupo afirma ter entrado por engenharia social, com ligações em que se passava por equipe de TI para obter credenciais e códigos de autenticação. Esse vetor é alegação dos próprios criminosos e não foi confirmado pela CarGurus, que até a publicação da reportagem não divulgou comunicado nem respondeu à imprensa.
Cerca de 70% dos registros já constavam de vazamentos anteriores, o que significa que aproximadamente 3,7 milhões seriam inéditos. O caso se insere numa sequência de ataques do mesmo grupo contra empresas que usam autenticação única.
Login único concentra a chave de tudo num lugar só, o que é ótimo para o usuário e ótimo para quem liga pedindo o código. O ganho de conveniência precisa vir com um procedimento de verificação à altura do que ele abre.
