フィンテック企業のUpbound Groupは、自社システムから盗み出されたデータが脅威アクターによって悪用され、1,300万ドル相当のAcimaリース契約が不正に作成されたことを明らかにしました。
米証券取引委員会(SEC)への提出書類の中で同社は、「機密性の低い顧客情報やその他の文書が権限のない第三者によって取得される、サイバーセキュリティインシデントを経験した」と述べています。
脅威アクターはこの情報を使ってリース購入契約(lease-to-own)における詐欺を行い、今年第2四半期のAcima部門において約1,300万ドルの財務的損失をもたらしました。
Upbound Group(旧称Rent-A-Center)は、金融ソリューションおよびリース購入(LTO)商品を提供する企業です。同社はAcima Leasing、Rent-A-Center、Brigit、Upbound Mexicoの各ブランドを運営しており、代替金融・レンタル業界において重要な存在となっています。
Acimaはサードパーティの小売業者やeコマースサイトを通じてリース購入型の決済オプションを提供しています。
SECへの提出書類によると、攻撃者は盗み出した顧客データや文書を使い、不正な契約のもとでAcimaのリース購入システムを通じて商品を入手したとしています。
Acimaは対象商品について提携小売業者に支払いを行いましたが、詐欺グループは商品を持ち去った上、必要なリース料金の支払いを行わず、結果として約1,300万ドルの損失が生じました。
同社によると、ハッキングを検知した直後から、外部のサイバーセキュリティ専門家の協力を得て緩和・修復措置の実施を開始したとのことです。
これらの措置には、認証機能の強化、不正検知メカニズムの追加、監視体制の改善が含まれます。
さらに、連邦法執行当局にも適切に通報済みです。Upboundは現在もこのインシデントの調査を継続しており、今後の調査結果次第で追加の対応を取るとしています。
これまでに判明している証拠から見て、今回のサイバー攻撃は投資判断に影響を与えるほど重大なものではないとみられています。
BleepingComputerは、影響を受けた顧客数など今回のインシデントに関する詳細情報を求めてUpboundに問い合わせましたが、記事公開時点では回答が得られていません。
現時点で、ランサムウェアグループやデータ恐喝を行う脅威アクターがUpboundへの攻撃について公に犯行声明を出した事例はありません。
攻撃者に先んじて、あらゆる層をテストする
セキュリティチームが記録できている攻撃成功の割合はわずか54%、アラートが出せているのはたった14%にすぎません。残りの攻撃は環境内を検知されずに通過しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーションによってSIEMおよびEDRのルールをテストし、脅威の見逃しを防ぐ方法を紹介しています。
