- Heights Financeで発生した情報漏えいは、侵害されたサードパーティのクラウドプラットフォームを経由して顧客の機密データを流出させました
- 流出したレコードには連絡先情報、財務情報、政府発行の識別番号が含まれていました
- テキサス州の70万人以上が影響を受け、同社はクレジットモニタリングと本人確認保護サービスを提供しています
米国のローン会社Heights Financeは、2026年初めにサイバー攻撃を受け、数十万人の顧客に関する機密データが流出したことを明らかにしました。
同社は自社ウェブサイト上でデータ漏えいに関する通知を公開し、2026年5月7日に「不正な行為者」が、同社が特定の顧客データを保管するために利用しているサードパーティ運営のクラウドベースプラットフォームに不正アクセスしたことを開示しました。
この侵害はそのクラウドプラットフォームのみに限定されており、同社のローン管理システムやその他のシステム・ネットワークには影響していません。
被害者数は少なくとも70万人
こうした事案における標準的な対応として、Heights Financeは関係当局に通知し、外部のサイバーセキュリティ専門家の協力を得ました。
その後の調査により、攻撃者(名前は特定されていません)は連絡先情報(氏名、郵送先住所、電話番号、メールアドレス)、財務情報(口座情報、銀行名・口座番号・ルーティング番号などの銀行口座情報)、政府発行の識別番号(社会保障番号、納税者番号、運転免許証番号)、その他の付随データを窃取したことが判明しました。
「Heightsを通じてローンを利用したことがある方、あるいはローン商品について問い合わせや申し込みを行った方(サードパーティ経由を含む)は、お客様の情報が対象となっている可能性があります」と同社は述べています。「また、Curo Managementまたはその過去・現在の関連ブランドのいずれかの元借り手であった場合も、お客様の情報が対象となっている可能性があります」
影響を受けた個人の正確な数は現時点では判明していません。Heights Financeはテキサス州の規制当局に対し、この漏えいにより同州の73万人以上の住民が影響を受けたと報告しており、さらにアラバマ州、テネシー州、ジョージア州、テキサス州、サウスカロライナ州の在住者にも影響が及んだと述べています。
Heights Financeがどのクラウドベースプラットフォームを利用していたかは分かっておらず、攻撃者はまだこの攻撃について犯行声明を出していません。その間、同社はEpiqを通じて、影響を受けた顧客にクレジットモニタリングおよび本人確認保護サービスを提供しています。
