Brecha de seguridad de Heights Finance: quedan expuestos datos financieros y números de Seguro Social de 734.828 personas

La intrusión afectó a una plataforma cloud de un tercero

Heights Finance sufrió una brecha de seguridad que podría haber expuesto información personal y financiera de 734.828 personas. La empresa, con sede en Greenville, Carolina del Sur, ofrece préstamos personales y servicios de consolidación de deudas.

La intrusión se detectó el 7 de mayo, cuando un atacante obtuvo acceso a una plataforma cloud gestionada por un proveedor externo. El sistema almacenaba parte de los datos de los clientes de Heights Finance.

La compañía informó del incidente a sus clientes la semana pasada y lo notificó el viernes a las autoridades de Texas. La estimación inicial hablaba de unas 750.000 personas, mientras que el recuento comunicado posteriormente sitúa en 734.828 el número de afectados.

El incidente afecta a quienes recibieron un préstamo de Heights Finance o solicitaron información sobre un producto financiero a través de un tercero. También están incluidos algunos clientes de Curo Management, la empresa matriz de Heights Finance, y de sus marcas asociadas.

Qué información podría haber sido sustraída

Los datos expuestos no se limitan a información de contacto. Según la comunicación de la empresa, el conjunto de datos potencialmente accesibles podría incluir:

• nombres y direcciones;
• números de cuenta bancaria;
• números de ruta bancaria;
• números de Seguro Social;
• identificadores fiscales;
• números de permiso de conducir;
• identificadores emitidos por los estados;
• otra información personal proporcionada al servicio de atención al cliente.

No se sabe si todas las personas afectadas tenían expuestos todos estos elementos. La lista señala las categorías de datos presentes en la plataforma comprometida, pero no aclara qué información fue consultada o copiada realmente en cada caso.

Sin embargo, la combinación de identificadores oficiales y datos bancarios aumenta la gravedad potencial del incidente. Un delincuente podría intentar abrir cuentas o solicitar financiación utilizando la identidad de la víctima, cometer fraude bancario o crear campañas de phishing muy convincentes.

Incluso los datos aparentemente menos sensibles, como las direcciones y la información proporcionada al servicio de atención al cliente, pueden ayudar a un atacante a personalizar sus comunicaciones. Un mensaje que mencione un préstamo real o una solicitud de financiación puede resultar más creíble que una estafa genérica.

El acceso habría quedado limitado al entorno cloud

Heights Finance sostiene que la actividad maliciosa quedó restringida a la plataforma cloud afectada. No se han identificado indicios de que se vieran comprometidos los sistemas de gestión de préstamos, otros sistemas informáticos de la empresa o sus redes corporativas.

La compañía también afirma que ha protegido la plataforma y que no ha detectado una amenaza activa. No se han revelado el nombre del proveedor cloud, el vector de ataque inicial, la duración del acceso ni el grupo responsable.

La falta de estos datos impide reconstruir con precisión la dinámica técnica de la brecha. Por tanto, no es posible determinar si el acceso se produjo mediante credenciales robadas, un error de configuración, una vulnerabilidad del servicio o un ataque dirigido directamente contra el proveedor.

El hecho de que los sistemas de gestión de préstamos no parezcan afectados limita al menos uno de los escenarios más graves: no se han comunicado modificaciones en contratos, expedientes o procesos operativos de concesión. No obstante, el robo de datos almacenados en la nube sigue generando riesgos concretos para las personas afectadas.

Una presencia amplia en cinco estados

Heights Finance gestiona decenas de empresas especializadas en préstamos personales en Alabama, Tennessee, Georgia, Texas y Carolina del Sur. Su red cuenta con más de 285 oficinas distribuidas en 11 estados.

La magnitud de la estructura ayuda a explicar el número de personas afectadas. El grupo no incluye necesariamente solo a clientes con un préstamo activo: la brecha también puede afectar a quienes solicitaron información sobre un producto de financiación a través de canales de terceros.

No se ha atribuido públicamente la responsabilidad a ningún grupo delictivo concreto. Heights Finance ha contratado a una empresa de ciberseguridad para buscar posibles datos en la dark web, incluidos foros, mercados clandestinos y otras plataformas utilizadas para intercambiar información robada.

En el momento de la declaración, la actividad de monitorización no había encontrado pruebas de que los datos se hubieran publicado o vendido. No obstante, la ausencia de evidencias públicas no demuestra que la información sea inutilizable ni que no pueda aparecer más adelante. Los datos robados pueden conservarse durante mucho tiempo antes de ser utilizados o puestos a la venta.

Qué deben vigilar las personas afectadas

Quienes hayan recibido una comunicación de Heights Finance deberían revisar atentamente los movimientos de sus cuentas bancarias y tarjetas de pago, prestando especial atención a pequeños cargos no reconocidos. Los fraudes iniciales pueden ser de importes reducidos para comprobar si una cuenta está activa.

También conviene desconfiar de llamadas, SMS y correos electrónicos que mencionen préstamos, refinanciaciones o solicitudes de documentos. No se debe proporcionar ningún código de verificación, contraseña o número completo de cuenta en respuesta a un mensaje inesperado.

Las personas cuyos números de Seguro Social, identificadores fiscales o documentos de identidad podrían estar afectados deberían valorar las medidas disponibles para prevenir el robo de identidad y revisar con mayor frecuencia cualquier solicitud de crédito no autorizada. Si aparece actividad sospechosa, es necesario contactar directamente con la entidad financiera utilizando datos de contacto verificados, no los incluidos en la comunicación recibida.

Heights Finance ha anunciado cuatro medidas principales: proteger la plataforma cloud, realizar comprobaciones para confirmar la ausencia de una amenaza persistente, monitorizar la dark web y notificar a los clientes y a las autoridades de Texas.

No se han anunciado más detalles sobre servicios gratuitos de protección contra el robo de identidad, sustitución de documentos o reembolso de los gastos asumidos por las víctimas. Tampoco se sabe si han aparecido pruebas de un uso fraudulento de la información sustraída.

El contexto judicial previo de la empresa

La brecha se produce en un contexto ya controvertido para Heights Finance. La empresa había sido demandada por el Gobierno federal por prácticas dirigidas contra personas endeudadas que intentaban refinanciar préstamos existentes.

Según los fiscales federales, el modelo habría generado ingresos mediante comisiones aplicadas a refinanciaciones frecuentes. El procedimiento se archivó poco después de la llegada de la Administración Trump.

Ese procedimiento no demuestra ninguna relación con el incidente informático ni indica que los datos fueran sustraídos para las prácticas denunciadas. Sin embargo, aporta contexto para valorar la sensibilidad de la información almacenada por la empresa: se trata también de datos de personas que buscaron crédito o una reestructuración financiera en una situación potencialmente vulnerable.

Por ahora, el alcance técnico declarado sigue limitado a la plataforma cloud de un tercero. Aun así, la magnitud del incidente y la naturaleza de los identificadores expuestos lo convierten en un riesgo concreto de fraude bancario, robo de identidad y phishing dirigido.