Datenleck bei Heights Finance betrifft 1,2 Millionen Menschen

Was ist passiert

Heights Finance Holdings Co., ein wichtiger Akteur im Bereich der Verbraucherfinanzierung, hat eine großangelegte Datenpanne öffentlich gemacht, von der mindestens 1,2 Millionen Personen direkt betroffen sind. Laut einer Erklärung des Unternehmens wurde der Vorfall Anfang Mai entdeckt. Angreifern gelang es, in eine cloudbasierte Plattform eines Drittanbieters einzudringen, die das Unternehmen zur Speicherung von Kundendaten nutzt. Als Folge dieses Einbruchs fielen hochsensible persönliche und finanzielle Informationen von Millionen von Personen in die Hände von Cyberkriminellen.

Heights Finance gab an, unmittelbar nach der Entdeckung des Lecks seine Protokolle zur Reaktion auf Vorfälle aktiviert zu haben. Das Unternehmen beauftragte externe Cybersicherheitsspezialisten mit der Durchführung einer umfassenden Untersuchung und meldete den Vorfall den Bundesstrafverfolgungsbehörden. Es wurde betont, dass sich der Einbruch auf eine genutzte Cloud-Plattform beschränkte und nicht auf die eigenen Kreditmanagementsysteme oder andere interne Netzwerke des Unternehmens. Obwohl dies bedeutet, dass die operativen Tätigkeiten des Unternehmens von dem Angriff nicht betroffen waren, zeigt es eine erhebliche Schwachstelle in der Sicherheit der Kundendaten auf. Die Offenlegung eines im Mai entdeckten Vorfalls im August verdeutlicht oft, wie komplex und zeitaufwändig der Untersuchungsprozess bei solchen Pannen sein kann. Unternehmen vermeiden es möglicherweise, Benachrichtigungen herauszugeben, bis sie die vollständige Liste der betroffenen Personen und den Umfang der gestohlenen Daten geklärt haben.

Kompromittierte Daten

Die Art der bei diesem Einbruch gestohlenen Daten unterstreicht die Schwere des Vorfalls. Die Angreifer erlangten Zugang zu fast allen kritischen Informationen, die für Identitätsdiebstahl und Finanzbetrug erforderlich sind. Laut der Mitteilung des Unternehmens umfassen die kompromittierten Datentypen:

• Identitätsinformationen: Vollständige Namen, Wohnadressen, E-Mail-Adressen und Telefonnummern.
• Amtliche Dokumente: Sozialversicherungsnummern (SSNs), staatlich ausgestellte ID-Nummern und Führerscheinnummern.
• Finanzinformationen: Bankkontoinformationen und andere Kontodetails.
• Persönliche Details: Geburtsdaten und andere verschiedene Informationen, die Kunden dem Unternehmen mitgeteilt haben.

Der Diebstahl dieses Datensatzes als Ganzes stellt ein extrem hohes Risiko für die Opfer dar. Insbesondere die Sozialversicherungsnummer gilt als Hauptschlüssel zur finanziellen Identität einer Person. Ein mit diesen Informationen ausgestatteter Betrüger kann im Namen des Opfers neue Kreditkarten beantragen, Kredite aufnehmen, betrügerische Steuererklärungen einreichen und sogar medizinische Dienstleistungen missbrauchen. Das Leck von Bankkontoinformationen birgt zudem das Risiko eines direkten finanziellen Verlusts. Betrüger können diese Informationen nutzen, um Geld von Konten abzuheben oder illegale Überweisungen durchzuführen.

Wie der Angriff geschah

Laut der Erklärung von Heights Finance zielte der Angriff auf einen Drittanbieter von Cloud-Diensten ab, der für die Datenspeicherung genutzt wurde, und nicht auf die eigene Infrastruktur des Unternehmens. Dies ist ein typisches Beispiel für einen „Supply-Chain-Angriff“ in der Cybersicherheit. Unabhängig davon, wie gut Unternehmen ihre eigenen Systeme schützen, können sie aufgrund von Sicherheitsschwächen ihrer Partner oder Dienstleister weiterhin gefährdet sein.

Das Unternehmen hat noch keine technischen Details darüber mitgeteilt, wie die Angreifer in die Cloud-Plattform eingedrungen sind. Solche Angriffe werden oft durch Methoden wie schwache Passwörter, falsch konfigurierte Cloud-Server, Zero-Day-Schwachstellen oder Phishing-Angriffe auf Mitarbeiter des Dienstleisters durchgeführt. Die Quelle des Angriffs und die spezifischen verwendeten Methoden werden im Rahmen der laufenden Untersuchung geklärt. Auch die Identität des Bedrohungsakteurs hinter dem Angriff bleibt unbekannt. Bisher hat keine bekannte Ransomware- oder Cyber-Erpressergruppe die Verantwortung für den Angriff übernommen.

Wer ist betroffen

Die Panne betrifft ein breites Publikum, das zu irgendeinem Zeitpunkt Kontakt mit Heights Finance hatte. Das Unternehmen kategorisiert die potenziell betroffenen Personen in drei Hauptgruppen:

1. Aktuelle und ehemalige Kunden: Jeder, der einen Kredit von Heights Finance hat oder hatte.
2. Antragsteller: Personen, die ein Kreditprodukt beim Unternehmen beantragt oder sich darüber erkundigt haben. Zu dieser Gruppe gehören auch diejenigen, deren Anträge nicht genehmigt wurden.
3. Kunden von Drittanbietern und ehemaligen Marken: Personen, die Kreditanträge über einen Dritten gestellt haben, oder ehemalige Kreditnehmer von Curo Management und seinen früheren oder aktuellen Marken.

Laut offiziellen Mitteilungen des Unternehmens an verschiedene Generalstaatsanwälte der Bundesstaaten verteilt sich die Zahl der betroffenen Personen wie folgt: 734.828 in Texas, 486.463 in South Carolina, 26 in New Hampshire und 21 in Vermont. Die Summe dieser Zahlen bestätigt, dass die Zahl der betroffenen Personen 1,2 Millionen übersteigt.

Was Sie tun können

Wenn Sie eine Beziehung zu Heights Finance hatten oder eine Benachrichtigung über eine Datenpanne erhalten haben, ist es entscheidend, sofort zu handeln, um den Missbrauch Ihrer Daten zu verhindern. Hier sind die Schritte, die Sie unternehmen können:

• Aktivieren Sie den kostenlosen Kreditauskunft-Überwachungsdienst: Heights Finance bietet allen betroffenen Personen 24 Monate lang kostenlose Kreditauskunft-Überwachung und Identitätsschutzdienste an. Befolgen Sie die Anweisungen in der Ihnen zugesandten Benachrichtigung, um diesen Dienst sofort zu aktivieren. Dieser Dienst benachrichtigt Sie, wenn ein neues Konto in Ihrem Namen eröffnet wird oder verdächtige Aktivitäten in Ihrer Kreditauskunft auftreten.
• Sperren Sie Ihre Kreditauskünfte: Eine der wirksamsten Maßnahmen ist die Sperrung Ihrer Kreditauskünfte bei den drei großen Kreditauskunfteien (in den USA: Equifax, Experian und TransUnion). Eine Kreditsperre verhindert, dass neue Gläubiger auf Ihre Auskunft zugreifen können, es sei denn, Sie heben sie persönlich auf, was es nahezu unmöglich macht, dass jemand mit Ihrer Identität einen neuen Kredit beantragt.
• Setzen Sie einen Betrugsalarm: Wenn Sie Ihre Kreditauskunft nicht sperren möchten, ist das Setzen eines Betrugsalarms eine flexiblere Option. Dieser Alarm fordert Kreditgeber auf, zusätzliche Schritte zur Überprüfung Ihrer Identität zu unternehmen, wenn ein Antrag in Ihrem Namen gestellt wird.
• Überwachen Sie Ihre Finanzkonten: Überprüfen Sie regelmäßig Ihre Bank- und Kreditkartenabrechnungen. Melden Sie alle Transaktionen, die Sie nicht erkennen oder die Ihnen verdächtig erscheinen, sofort Ihrer Bank.
• Seien Sie vorsichtig bei Phishing-Angriffen: Cyberkriminelle könnten diese gestohlenen persönlichen Informationen nutzen, um Ihnen maßgeschneiderte Phishing-E-Mails oder -Textnachrichten (Smishing) zu senden. Seien Sie skeptisch gegenüber Nachrichten, die angeblich von Heights Finance stammen und dringendes Handeln fordern oder Sie zur Bestätigung Ihrer persönlichen Daten auffordern.

Was das Unternehmen sagt

In seiner Vorfallmeldung betonte Heights Finance sein Engagement für die Kundensicherheit und die unternommenen Schritte. Das Unternehmen erklärte: „Wir haben unsere Protokolle zur Reaktion auf Vorfälle sofort aktiviert, externe Cybersicherheitsspezialisten zur Untersuchung hinzugezogen und den Vorfall den Bundesstrafverfolgungsbehörden gemeldet.“ Es wurde auch darauf hingewiesen, dass die kompromittierte Plattform nun sicher ist und der Hauptbetrieb des Unternehmens ohne Unterbrechung weiterläuft.

Darüber hinaus fügte das Unternehmen hinzu, dass seine Überwachung des Darknets bisher keine Beweise dafür ergeben hat, dass die gestohlenen Informationen geteilt oder zum Verkauf angeboten wurden. Dies bedeutet jedoch nicht, dass die Daten in Zukunft nicht verwendet werden. Cyberkriminelle warten oft eine Weile, bevor sie gestohlene Daten verwenden oder verkaufen. Das Unternehmen zielt darauf ab, diese Risiken zu minimieren, indem es den betroffenen Kunden den 24-monatigen Identitätsschutzdienst anbietet.

Quelle

https://www.securityweek.com/heights-finance-data-breach-impacts-at-least-1-2-million-individuals/