Turecká autopůjčovna Carla, agregátor půjčoven fungující ve 180 zemích, nechala volně přístupný cloudový úložiště s téměř 48 000 potvrzeními o rezervaci. Objev zveřejnil tým Cybernews 21. července 2026, samotný leak ale byl objeven už na začátku června.
Co únik dat Carla obsahoval
Nezabezpečený AWS bucket obsahoval PDF potvrzení rezervací s těmito údaji:
- jméno a e-mail zákazníka, telefonní číslo
- číslo voucheru a rezervace
- termín pronájmu, cena, místo vyzvednutí a vrácení vozu
- někdy i model a typ vozidla
Úložiště navíc přibývalo o stovky nových souborů denně, což naznačuje, že šlo o aktivně používaný systém, ne o zapomenutý archiv.
Časová osa úniku dat
- objevení: 3. června 2026
- první kontaktování firmy: 3. června 2026
- uzavření přístupu: 29. června 2026
Bucket tedy zůstal veřejně přístupný přes tři týdny od nahlášení, což je u podobných případů celkem obvyklé tempo reakce.
Rizika pro zákazníky autopůjčovny Carla
Kombinace jména, kontaktu a termínu pronájmu dává útočníkům slušný základ pro cílený phishing. Klasický scénář je e-mail o „zrušené rezervaci“ těsně před plánovanou cestou, na který lidé ve stresu z blížícího se výletu reagují bez rozmyslu.
Druhé riziko je méně zjevné. Termín pronájmu prozrazuje, kdy je zákazník pryč z domova. V kombinaci s adresou z jiného úniku dat se to dá zneužít i k plánování vloupání do prázdné nemovitosti.
Carla není první autopůjčovna s únikem dat
Cybernews připomíná loňský případ turecké společnosti Rent Go, u které unikly skeny pasů a řidičských průkazů přes 160 000 zákazníků, tentokrát přes špatně nastavený Azure Blob Storage. Data tam navíc sahala až k roku 2019 a firma na dotazy novinářů vůbec nereagovala.
Obor jako celek má na cloudové konfigurace dost bídnou bilanci. Avis loni přiznal únik dat asi 300 000 zákazníků včetně čísel řidičských průkazů, Sixt v roce 2022 řešil únik zahrnující i citlivější údaje jako čísla účtů. Nejde tedy o ojedinělý exces jedné firmy, ale o opakující se vzorec ve způsobu, jak autopůjčovny zacházejí se zákaznickými daty v cloudu.
Co dělat, pokud jste u Carla rezervovali
Zvýšená ostražitost u e-mailů s tématem rezervace, hlavně před plánovanou cestou, je na místě. Legitimní zrušení rezervace firma typicky nekomunikuje odkazem na platbu kartou přímo v e-mailu.
Zdroje
Cybernews: Holiday goers beware: Global car rental service data leak exposes thousands of drivers
Cybernews: Rent Go exposes over 160K customer passports
Fox News: Avis Rent A Car cyberattack exposes nearly 300,000 customers‘ information
CPO Magazine: Avis Car Rental Suffers a Data Breach Impacting Nearly 300,000 Customers
