Affirm заявляет, что владельцы карт пострадали от утечки данных Evolve Bank

Компания Affirm, предоставляющая кредиты "купи сейчас, заплати потом", предупреждает, что персональные данные держателей ее платежных карт стали известны в результате утечки информации у стороннего эмитента - Evolve Bank & Trust (Evolve).

Affirm - это финтех-компания, которая предлагает потребителям альтернативы традиционным кредитам. Она также предлагает финансирование в точках продаж, виртуальные карты в мобильном приложении и полностью интегрированную физическую карту под названием "Affirm Card".

Evolve - крупный поставщик финансовых услуг, специализирующийся на розничном и коммерческом банкинге, обработке платежей и банковском обслуживании как услуге (BaaS).

Компания активно сотрудничает со многими финтех-компаниями, включая Shopify, Bilt, Plaid, Stripe и Mercury. Эти финтех-компании используют ее для обеспечения банковского бэкенда своих продуктов, включая выпуск карт, управление депозитами и предоставление кредитов.

В июне банда разработчиков вымогательского ПО LockBit ложно заявила, что взломала Федеральную резервную систему США и похитила 33 ТБ данных.

Однако после анализа данных было установлено, что они были украдены у Evolve Bank & Trust, который подтвердил BleepingComputer, что данные принадлежат им.

"В настоящее время Evolve расследует инцидент в области кибербезопасности, связанный с известной киберпреступной организацией. Похоже, что эти недобросовестные субъекты выложили незаконно полученные данные в темную паутину", - сообщил BleepingComputer представитель Evolve.

Affirm пострадала от утечки данных Evolve

В опубликованном вчера обновлении компания Evolve сообщила, что отреагировала на инцидент, сбросив пароли по всему миру, восстановив критически важные компоненты управления доступом к идентификационным данным, включая Active Directory, и приняв различные меры по укреплению сети.

По последним данным расследования, похищенные данные включают имена, номера социального страхования (SSN), номера банковских счетов и контактную информацию.

Компания Affirm, один из клиентов Evolve, предупреждает своих клиентов о том, что их личная и финансовая информация могла быть раскрыта в результате утечки данных Evolve. Affirm делится данными клиентов с Evolve, что необходимо для выпуска Affirm Cards - дебетовых карт, позволяющих оплачивать покупки в течение определенного времени.

25 июня 2024 года Evolve Bank & Trust ("Evolve"), сторонний эмитент карты Affirm, уведомил Affirm ("Компания") о том, что в Evolve произошел инцидент, связанный с кибербезопасностью, в результате которого третья сторона получила несанкционированный доступ к личной информации и финансовой информации ("Личная информация") клиентов Evolve, работающих в сфере розничного банковского обслуживания, и клиентов ее партнеров по финансовым технологиям", - говорится в отчете 8-K.

"Поскольку компания делится с Evolve личной информацией пользователей карт Affirm Card для облегчения выпуска и обслуживания карт Affirm Card, компания считает, что личная информация пользователей карт Affirm Card была скомпрометирована в результате инцидента, связанного с кибербезопасностью Evolve."

Affirm добавила, что Evolve заверила их, что инцидент с кибербезопасностью был локализован. Однако расследование масштабов взлома и степени несанкционированного доступа все еще продолжается.

Тем временем Affirm заявляет, что пользователи могут продолжать совершать обычные операции, так как компания остается в состоянии повышенной готовности к потенциально подозрительной активности, связанной с инцидентом.

Wise и Bilt тоже пострадали

Взлом в Evolve потенциально затронул и другие финтех-компании в США: Wise и Bilt подтвердили, что пострадали.

В конце прошлой недели компания Wise опубликовала на своем сайте заявление, в котором сообщила клиентам, что в рамках партнерства в период с 2020 по 2023 год она передала Evolve полные имена, адреса, контактные данные, номера социального страхования и другую конфиденциальную информацию.

Компания Wise заверила клиентов, что их счета остаются в безопасности, и они могут продолжать пользоваться своими "картами Wise", но рекомендовала проявлять повышенную бдительность в отношении возможных фишинговых атак.

Компания Bilt также уведомила клиентов с помощью уведомлений о том, что ее партнерство с Evolve могло привести к компрометации конфиденциальной информации клиентов.

Однако один из сотрудников Bilt подтвердил на Reddit, что они не уверены в том, что данные их клиентов действительно подверглись опасности.

"Мы направили это уведомление из избытка осторожности, но на данный момент Evolve не сообщила, какие данные пользователей Bilt были затронуты, если таковые вообще имеются", - написал сотрудник Bilt на Reddit.

Как и другие организации, Bilt заверила пользователей, что их аккаунты остаются в безопасности и что платформа не подверглась прямому воздействию; следовательно, ее работа не нарушена.

Evolve также пообещала разослать индивидуальные уведомления всем лицам, пострадавшим от инцидента, 8 июля 2024 года.

Учитывая серьезность утечки данных Evole, мы, вероятно, увидим, как другие финтех-компании будут раскрывать информацию о возможных утечках данных по мере продолжения расследования.