Incidentes que afectaron a 700Credit y Prosper Marketplace dejaron al descubierto información sensible de casi 20 millones de personas en Estados Unidos, en un contexto de alza sostenida de ataques contra instituciones financieras.
Una nueva serie de incidentes de ciberseguridad volvió a poner bajo presión al sector fintech en los Estados Unidos, luego de que dos compañías de servicios financieros confirmaran brechas de datos que, en conjunto, afectan a cerca de 20 millones de personas. Los casos involucran a 700Credit, proveedor de servicios para concesionarios automotrices, y a Prosper Marketplace, firma especializada en préstamos entre personas.
El episodio más reciente corresponde a 700Credit, empresa con sede en el Estado de Michigan que presta servicios de reportes crediticios, verificación de identidad y prevención de fraude a más de 20 mil concesionarios en el país. La compañía informó que notificará a más de 5,8 millones de personas luego de detectar, el 25 de octubre pasado, actividad sospechosa en sus sistemas. De acuerdo con la investigación, “ciertos registros en la aplicación web relacionados con clientes de sus concesionarios fueron copiados sin autorización”, según indicó la firma en su notificación oficial.
El origen del incidente se remonta a julio, cuando un actor malicioso comprometió a uno de los socios de integración de 700Credit y descubrió una interfaz de programación (API) vulnerable. La empresa explicó que el atacante logró exfiltrar información entre mayo y octubre debido a una falla que no validaba correctamente los identificadores de referencia de los consumidores. Entre los datos expuestos se incluyen nombres completos, direcciones físicas, fechas de nacimiento y números de Seguro Social. En este incidente, el atacante habría accedido a cerca del 20% de los datos de consumidores antes de que la compañía deshabilitara la API comprometida.
En paralelo, Prosper Marketplace confirmó un ataque de distinta naturaleza que impactó a 13,1 millones de personas. La fintech, fundada en 2005 y enfocada en préstamos peer-to-peer, informó que los atacantes accedieron a datos entre junio y agosto, aunque aclaró que “no hay evidencia de acceso no autorizado a cuentas de clientes ni a fondos”. La información comprometida incluye desde números de Seguro Social y cuentas bancarias hasta documentos oficiales como pasaportes y certificados.
Ambas compañías ofrecieron servicios de protección de identidad a los afectados: 700Credit otorgará 12 meses de monitoreo crediticio, mientras que Prosper anunció dos años de cobertura. En el caso de 700Credit, la empresa también recomendó a los usuarios vigilar de cerca sus cuentas y considerar congelamientos de crédito y alertas de fraude.
Hasta ahora, ningún grupo de ransomware se ha atribuido públicamente estos ataques. Sin embargo, los incidentes se suman a una tendencia al alza.