Datenpanne bei Heights Finance: Finanzdaten und Sozialversicherungsnummern von 734.828 Personen offengelegt

Der Angriff betraf eine Cloud-Plattform eines Drittanbieters

Heights Finance war von einem Datenleck betroffen, bei dem personenbezogene und finanzielle Informationen von 734.828 Personen offengelegt worden sein könnten. Das Unternehmen mit Sitz in Greenville, South Carolina, bietet Privatkredite und Dienstleistungen zur Schuldenkonsolidierung an.

Der Angriff wurde am 7. Mai entdeckt. Dabei verschaffte sich ein Angreifer Zugriff auf eine von einem externen Dienstleister betriebene Cloud-Plattform. Auf dem System waren Teile der Kundendaten von Heights Finance gespeichert.

Das Unternehmen informierte seine Kunden in der vergangenen Woche über den Vorfall und meldete ihn am Freitag den texanischen Behörden. Eine erste Schätzung ging von rund 750.000 betroffenen Personen aus. Später wurde die Zahl auf 734.828 Personen korrigiert.

Betroffen sein können Personen, die bei Heights Finance einen Kredit aufgenommen oder über einen Drittanbieter Informationen zu einem Finanzprodukt angefordert haben. Zum Kreis der Betroffenen gehören außerdem einige Kunden von Curo Management, der Muttergesellschaft von Heights Finance, sowie deren verbundenen Marken.

Welche Informationen möglicherweise gestohlen wurden

Bei den offengelegten Daten handelt es sich nicht nur um Kontaktinformationen. Nach Angaben des Unternehmens können die potenziell zugänglichen Daten unter anderem Folgendes umfassen:

• Namen und Adressen;
• Bankkontonummern;
• Bankleitzahlen beziehungsweise Routing-Nummern;
• Sozialversicherungsnummern;
• Steueridentifikationsnummern;
• Führerscheinnummern;
• von US-Bundesstaaten ausgestellte Identifikationsnummern;
• weitere personenbezogene Angaben, die dem Kundenservice mitgeteilt wurden.

Es ist nicht bekannt, ob bei jeder betroffenen Person sämtliche genannten Daten offengelegt wurden. Die Auflistung beschreibt die Datenkategorien auf der kompromittierten Plattform, klärt jedoch nicht, welche Informationen bei den einzelnen Personen tatsächlich eingesehen oder kopiert wurden.

Die Kombination aus staatlichen Identifikationsdaten und Bankinformationen erhöht jedoch die potenzielle Schwere des Vorfalls. Kriminelle könnten versuchen, unter dem Namen der Opfer Konten zu eröffnen oder Kredite zu beantragen, Bankbetrug zu begehen oder besonders glaubwürdige Phishing-Kampagnen zu erstellen.

Auch scheinbar weniger sensible Daten wie Adressen und Angaben aus dem Kundenservice können Angreifern dabei helfen, ihre Kommunikation zu personalisieren. Eine Nachricht, die sich auf einen tatsächlich beantragten Kredit oder eine Finanzierungsanfrage bezieht, wirkt möglicherweise überzeugender als ein allgemeiner Betrugsversuch.

Zugriff offenbar auf die Cloud beschränkt

Heights Finance zufolge blieb die schädliche Aktivität auf die betroffene Cloud-Plattform beschränkt. Die Kreditverwaltungssysteme, andere IT-Systeme des Unternehmens und die Unternehmensnetzwerke sollen nicht kompromittiert worden sein.

Das Unternehmen erklärt außerdem, die Plattform abgesichert und keine weiterhin aktive Bedrohung festgestellt zu haben. Der Name des Cloud-Anbieters, der ursprüngliche Angriffsvektor, die Dauer des Zugriffs und die verantwortliche Gruppe wurden nicht bekannt gegeben.

Dadurch lässt sich der technische Ablauf des Angriffs nicht präzise rekonstruieren. Es bleibt offen, ob der Zugriff über gestohlene Zugangsdaten, eine Fehlkonfiguration, eine Schwachstelle im Dienst oder einen direkten Angriff auf den Anbieter erfolgte.

Dass die Kreditverwaltungssysteme offenbar nicht betroffen waren, schränkt zumindest einige der schwerwiegendsten Szenarien ein: Es wurden keine Änderungen an Verträgen, Kreditanträgen oder operativen Vergabeprozessen gemeldet. Der Diebstahl der in der Cloud gespeicherten Daten stellt dennoch ein konkretes Risiko für die betroffenen Personen dar.

Umfangreiche Präsenz in fünf Bundesstaaten

Heights Finance betreibt Dutzende auf Privatkredite spezialisierte Unternehmen in Alabama, Tennessee, Georgia, Texas und South Carolina. Das Netzwerk umfasst mehr als 285 Niederlassungen in 11 Bundesstaaten.

Die Größe der Unternehmensstruktur trägt zur hohen Zahl der Betroffenen bei. Dazu gehören nicht zwangsläufig nur Personen mit einem aktiven Kredit. Der Vorfall kann auch Menschen betreffen, die über Drittanbieter Informationen zu einem Finanzierungsprodukt angefordert haben.

Die Verantwortung wurde öffentlich keiner bestimmten kriminellen Gruppe zugeschrieben. Heights Finance beauftragte ein Cybersecurity-Unternehmen damit, im Darknet nach möglichen Daten zu suchen. Dabei wurden Foren, Marktplätze und andere Plattformen überprüft, auf denen gestohlene Informationen ausgetauscht werden.

Zum Zeitpunkt der Mitteilung hatte die Überwachung keine Beweise dafür ergeben, dass die Daten veröffentlicht oder verkauft worden waren. Das Fehlen öffentlich zugänglicher Hinweise bedeutet jedoch nicht, dass die Informationen unbrauchbar sind oder nicht später auftauchen können. Gestohlene Daten können lange aufbewahrt werden, bevor sie genutzt oder zum Verkauf angeboten werden.

Was Betroffene kontrollieren sollten

Wer eine Mitteilung von Heights Finance erhalten hat, sollte seine Bank- und Zahlungskartenumsätze sorgfältig prüfen und besonders auf kleine, unbekannte Abbuchungen achten. Betrügerische Aktivitäten beginnen mitunter mit geringen Beträgen, um zu testen, ob ein Konto aktiv ist.

Vorsicht ist außerdem bei Anrufen, SMS und E-Mails geboten, in denen es um Kredite, Umschuldungen oder die Anforderung von Dokumenten geht. Verifizierungscodes, Passwörter und vollständige Kontonummern sollten niemals als Antwort auf eine unerwartete Nachricht übermittelt werden.

Personen, deren Sozialversicherungsnummern, Steueridentifikationsnummern oder Ausweisdaten betroffen sein könnten, sollten verfügbare Maßnahmen zum Schutz vor Identitätsdiebstahl prüfen und häufiger nach unbefugten Kreditanfragen suchen. Bei verdächtigen Aktivitäten sollte das Finanzinstitut direkt über verifizierte Kontaktdaten kontaktiert werden – nicht über die in der erhaltenen Nachricht angegebenen Informationen.

Heights Finance nannte vier zentrale Maßnahmen: die Absicherung der Cloud-Plattform, Prüfungen auf eine fortbestehende Bedrohung, die Überwachung des Darknets sowie die Benachrichtigung von Kunden und texanischen Behörden.

Weitere Einzelheiten zu kostenlosen Identitätsdiebstahlschutzdiensten, dem Ersatz von Dokumenten oder der Erstattung von Opfern entstandener Kosten wurden nicht bekannt gegeben. Ebenso ist unklar, ob Hinweise auf eine betrügerische Nutzung der gestohlenen Informationen vorliegen.

Der frühere rechtliche Kontext des Unternehmens

Der Vorfall ereignet sich vor dem Hintergrund einer bereits umstrittenen Geschichte von Heights Finance. Die Gesellschaft war von der US-Bundesregierung wegen Geschäftspraktiken verklagt worden, die sich gegen finanziell angeschlagene Schuldner richteten, die bestehende Kredite umschulden wollten.

Nach Angaben der Bundesstaatsanwälte soll das Geschäftsmodell Einnahmen durch Gebühren für häufige Umschuldungen generiert haben. Das Verfahren wurde kurz nach dem Amtsantritt der Trump-Regierung eingestellt.

Dieses Verfahren belegt keinen Zusammenhang mit dem Cybervorfall und deutet nicht darauf hin, dass die Daten wegen der darin erhobenen Vorwürfe gestohlen wurden. Es liefert jedoch Kontext zur Sensibilität der beim Unternehmen gespeicherten Informationen: Die Daten beziehen sich auch auf Personen, die in einer möglicherweise finanziell angespannten Lage nach Krediten oder einer Umschuldung gesucht haben.

Nach aktuellem Kenntnisstand bleibt der erklärte technische Umfang auf die Cloud-Plattform eines Drittanbieters beschränkt. Die hohe Zahl der Betroffenen und die Art der offengelegten Identifikationsdaten machen den Vorfall dennoch zu einem konkreten Risiko für Bankbetrug, Identitätsdiebstahl und gezieltes Phishing.