Violation de Heights Finance : les données financières et les numéros de sécurité sociale de 734 828 personnes exposés

L’intrusion a touché une plateforme cloud tierce

Heights Finance a subi une violation de données qui pourrait avoir exposé les informations personnelles et financières de 734 828 personnes. Basée à Greenville, en Caroline du Sud, l’entreprise propose des prêts personnels et des services de consolidation de dettes.

L’intrusion a été détectée le 7 mai, lorsqu’un attaquant a obtenu accès à une plateforme cloud gérée par un prestataire externe. Le système stockait une partie des données relatives aux clients de Heights Finance.

La société a informé ses clients de l’incident la semaine dernière et l’a signalé vendredi aux autorités du Texas. L’estimation initiale concernait environ 750 000 personnes, tandis que le décompte communiqué ultérieurement fait état de 734 828 individus concernés.

L’incident concerne les personnes ayant obtenu un prêt auprès de Heights Finance ou demandé des informations sur un produit financier par l’intermédiaire d’un tiers. Certains clients de Curo Management, la société mère de Heights Finance, ainsi que de ses marques affiliées, sont également concernés.

Quelles informations pourraient avoir été dérobées

Les données exposées ne se limitent pas aux coordonnées. Selon l’avis de l’entreprise, les informations potentiellement accessibles peuvent inclure :

• noms et adresses ;
• numéros de comptes bancaires ;
• numéros de routage bancaire ;
• numéros de sécurité sociale ;
• numéros d’identification fiscale ;
• numéros de permis de conduire ;
• identifiants délivrés par les États ;
• autres informations personnelles fournies au service client.

Rien ne permet d’affirmer que toutes les personnes concernées ont vu l’ensemble de ces données exposées. Cette liste recense les catégories d’informations présentes sur la plateforme compromise, mais ne précise pas lesquelles ont effectivement été consultées ou copiées pour chaque individu.

La combinaison d’identifiants officiels et de données bancaires accroît toutefois la gravité potentielle de l’incident. Un criminel pourrait tenter d’ouvrir des comptes ou de demander des financements au nom de la victime, commettre des fraudes bancaires ou élaborer des campagnes de phishing particulièrement crédibles.

Même les données apparemment moins sensibles, comme les adresses et les informations communiquées au service client, peuvent aider un attaquant à personnaliser ses messages. Un message faisant référence à un prêt réel ou à une demande de financement peut sembler plus convaincant qu’une escroquerie générique.

L’accès serait resté limité au cloud

Heights Finance affirme que l’activité malveillante est restée confinée à la plateforme cloud concernée. Les systèmes de gestion des prêts, les autres systèmes informatiques de l’entreprise et les réseaux internes ne semblent pas avoir été compromis.

L’entreprise indique également avoir sécurisé la plateforme et n’avoir détecté aucune menace encore active. Le nom du fournisseur cloud, le vecteur d’attaque initial, la durée de l’accès et l’identité du groupe responsable n’ont pas été communiqués.

Ces éléments empêchent de reconstituer précisément le déroulement technique de la violation. Il est donc impossible de déterminer si l’accès résultait d’identifiants volés, d’une erreur de configuration, d’une vulnérabilité du service ou d’une attaque visant directement le fournisseur.

Le fait que les systèmes de gestion des prêts ne semblent pas concernés écarte au moins l’un des scénarios les plus graves : aucune modification des contrats, des dossiers ou des processus opérationnels d’octroi n’a été signalée. Le vol de données stockées dans le cloud suffit toutefois à créer des risques concrets pour les personnes concernées.

Une présence étendue dans cinq États

Heights Finance gère des dizaines de sociétés spécialisées dans les prêts personnels en Alabama, au Tennessee, en Géorgie, au Texas et en Caroline du Sud. Son réseau compte plus de 285 agences réparties dans 11 États.

L’ampleur de cette structure contribue à expliquer le nombre de personnes concernées. Le périmètre ne comprend pas nécessairement uniquement des clients ayant un prêt actif : la violation peut également toucher des personnes qui ont demandé des informations sur un produit de financement par l’intermédiaire de canaux tiers.

La responsabilité n’a pas été publiquement attribuée à un groupe criminel précis. Heights Finance a mandaté une société de cybersécurité pour rechercher d’éventuelles données sur le dark web, notamment sur des forums, des marketplaces et d’autres plateformes utilisées pour échanger des informations volées.

Au moment de la déclaration, la surveillance n’avait révélé aucune preuve de publication ou de vente des données. L’absence d’éléments publics ne signifie toutefois pas que les informations sont inutilisables ou qu’elles ne pourront pas apparaître ultérieurement. Les données volées peuvent en effet être conservées longtemps avant d’être exploitées ou mises en vente.

Ce que les personnes concernées doivent surveiller

Les personnes ayant reçu une notification de Heights Finance devraient examiner attentivement les mouvements de leurs comptes bancaires et de leurs cartes de paiement, en portant une attention particulière aux petits prélèvements inconnus. Les fraudeurs peuvent commencer par de faibles montants afin de vérifier qu’un compte est actif.

Il est également conseillé de se méfier des appels, SMS et e-mails mentionnant des prêts, des refinancements ou des demandes de documents. Aucun code de vérification, mot de passe ou numéro de compte complet ne doit être communiqué en réponse à un message inattendu.

Les personnes dont les numéros de sécurité sociale, identifiants fiscaux ou documents d’identité pourraient être concernés devraient envisager les mesures disponibles pour prévenir l’usurpation d’identité et vérifier plus fréquemment l’apparition éventuelle de demandes de crédit non autorisées. En cas d’activité suspecte, il faut contacter directement l’établissement financier en utilisant des coordonnées vérifiées, et non celles figurant dans le message reçu.

Heights Finance a annoncé quatre mesures principales : la sécurisation de la plateforme cloud, des contrôles visant à confirmer l’absence de menace persistante, la surveillance du dark web et la notification des clients et des autorités du Texas.

Aucun détail supplémentaire n’a été annoncé concernant d’éventuels services gratuits de protection contre l’usurpation d’identité, le remplacement de documents ou le remboursement des dépenses engagées par les victimes. On ignore également si des preuves d’utilisation frauduleuse des informations volées ont été découvertes.

Le contexte judiciaire antérieur de l’entreprise

La violation survient dans un contexte déjà controversé pour Heights Finance. La société avait été poursuivie par le gouvernement fédéral pour des pratiques visant des emprunteurs en difficulté qui cherchaient à refinancer des prêts existants.

Selon les procureurs fédéraux, le modèle aurait généré des revenus grâce aux frais appliqués lors de refinancements fréquents. La procédure a été classée peu après l’entrée en fonction de l’administration Trump.

Cette procédure ne démontre aucun lien avec l’incident informatique et n’indique pas que les données aient été dérobées à des fins liées aux pratiques reprochées. Elle fournit toutefois un élément de contexte pour évaluer la sensibilité des informations conservées par l’entreprise : il s’agit notamment de données concernant des personnes ayant recherché un crédit ou une restructuration financière dans une situation potentiellement fragile.

Pour l’instant, le périmètre technique déclaré reste limité à la plateforme cloud d’un prestataire tiers. L’ampleur de l’incident et la nature des identifiants exposés en font néanmoins un risque concret de fraude bancaire, d’usurpation d’identité et de phishing ciblé.