Heights Finance社のデータ侵害、少なくとも120万人に影響

消費者向け融資会社Heights Finance Holdings Co.は、120万人以上に対し、データ侵害により個人情報および財務情報が盗まれたことを通知しています。

Heights社は5月初旬、顧客データの保管に使用しているサードパーティのクラウドベースプラットフォームにハッカーが不正アクセスしたことを発見したと、インシデント通知で明らかにしました。

同社によると、このプラットフォームは既に保護措置が講じられており、今回の事案はクラウドベースプラットフォームに限定されていたため、事業運営には影響がなかったとしています。

Heights社は次のように述べています。「今回の事案は、当社のローン管理システムやその他のコンピューターシステム、ネットワークには一切影響していません。当社は直ちにインシデント対応プロトコルを発動し、外部のサイバーセキュリティ専門家を招いて調査を行うとともに、連邦法執行機関に報告しました」

この攻撃により、ハッカーは氏名、住所、メールアドレス、電話番号、社会保障番号、政府発行ID番号、運転免許証番号、銀行口座情報、口座詳細、生年月日、その他顧客が同社と共有していた情報を含む、個人情報および財務情報にアクセスし、窃取しました。

Heights社は次のように述べています。「Heightsを通じてローンを受けた方、またはローン商品について問い合わせ・申し込みをされた方(第三者経由の場合を含む)は、お客様の情報が影響を受けている可能性があります。また、Curo Managementまたはその過去・現在の関連ブランドの元借入者であった方も、情報が影響を受けている可能性があります」

複数の州の司法長官事務所に送付された通知によると、影響を受けた人数は120万人を超えており、内訳はテキサス州で734,828人、サウスカロライナ州で486,463人、ニューハンプシャー州で26人、バーモント州で21人となっています。

Heights社は、影響を受けた個人に対し、24カ月間の無料クレジットモニタリングおよびID保護サービスを提供しています。

同社によると、ダークウェブの監視を実施しているものの、今回の攻撃で盗まれた情報がハッカーによって共有された形跡は見つかっていないとしています。

Heights社は今回のデータ侵害の背後にいる脅威アクターの名前を明らかにしておらず、SecurityWeekも、既知のランサムウェアグループや恐喝グループが今回の事案について犯行声明を出したという情報は確認していません。