Filtración de datos de 700Credit de 2025

La carta de notificación de 700Credit a las personas afectadas indica expresamente que se copiaron sin autorización determinados registros de la aplicación web relacionados con sus concesionarios clientes. La presentación de esta carta ante la Fiscalía General de Maine confirma oficialmente tanto que el incidente fue una filtración de datos personales como que el alcance de la notificación fue de 5 836 521 personas. La Fiscalía General de Michigan también publicó una advertencia para los consumidores en la que describía el incidente y los tipos de datos afectados.

BleepingComputer examinó la carta oficial y las declaraciones de un directivo de la empresa, e informó de que en el ataque se utilizó una API a la que se accedió a través de un socio de integración externo cuyo sistema había sido comprometido. Su cobertura corrobora de forma independiente los campos de datos confirmados, la cronología de la investigación y los doce meses de asistencia para proteger la identidad. LeakData se basa en los hallazgos compartidos por estas fuentes y no especula sobre la identidad del atacante ni sobre detalles técnicos que no se hayan divulgado.

Según el relato de la empresa, un atacante accedió al sistema de uno de los socios de integración de 700Credit en julio de 2025 y descubrió una API utilizada para obtener información de consumidores. El socio no notificó a 700Credit ese acceso no autorizado en aquel momento. Una deficiencia en un control que no comprobaba adecuadamente la correspondencia entre el identificador de referencia de un consumidor y el solicitante original permitió al atacante solicitar registros de consumidores sin autorización.

Tras observar actividad inusual el 25 de octubre, 700Credit inició una investigación con especialistas externos en informática forense y desactivó la API expuesta. Un directivo de la empresa declaró públicamente que el atacante había obtenido aproximadamente el veinte por ciento de los datos de consumidores recopilados de los concesionarios entre mayo y octubre de 2025. La fecha del incidente se basa en la primera actividad técnica que puede verificarse a partir de fuentes públicas.

Los documentos de notificación confirman cuatro categorías de datos: nombres completos, direcciones físicas, fechas de nacimiento y números del Seguro Social. No todas las personas tenían necesariamente los mismos campos de datos expuestos, ya que la empresa indicó que el contenido variaba según cada persona.

Las fuentes citadas no incluyen los números de tarjetas de pago, las contraseñas de cuentas bancarias, las plantillas biométricas ni los números de permisos de conducir dentro del alcance confirmado. Por tanto, no se añaden esas categorías. Aunque 700Credit ofrece productos de informes crediticios y verificación de identidad, no puede darse por hecho que se filtraran todos los tipos de información utilizados en su catálogo de productos; esta ficha se limita a las cuatro categorías mencionadas expresamente en la notificación.

700Credit afirmó que su red interna no había sido comprometida y que el incidente se limitó a la capa de aplicación de 700Dealer.com. El acceso inicial en un socio de integración hace de este incidente un riesgo derivado de una conexión con terceros que se extendió a través de una interfaz de aplicación. Sin embargo, esta ficha no considera que cada sistema del socio no identificado o cada concesionario cliente de 700Credit haya sufrido una filtración independiente sin pruebas que lo respalden.

La empresa comenzó a notificar a los concesionarios clientes afectados el 21 de noviembre e indicó que el envío de notificaciones por escrito a las personas afectadas comenzaría el 22 de diciembre. En coordinación con la National Automobile Dealers Association, presentó una notificación consolidada ante la Federal Trade Commission en su propio nombre y en el de los concesionarios clientes afectados. También se notificó el incidente a las fiscalías generales estatales y al FBI.

700Credit ofreció a las personas afectadas doce meses de servicios gratuitos de supervisión crediticia y restauración de identidad a través de TransUnion. Quienes reciban la notificación deberían inscribirse antes del plazo indicado, revisar sus informes crediticios con regularidad y comunicar de inmediato cualquier cuenta o consulta crediticia que no reconozcan. Los mensajes que parezcan proceder de la empresa, pero soliciten un número del Seguro Social o un pago, deberían verificarse a través de un canal de contacto obtenido de forma independiente.

Como un número del Seguro Social no puede sustituirse fácilmente, la supervisión a corto plazo por sí sola puede no bastar para abordar el riesgo persistente. Los consumidores de Estados Unidos pueden solicitar una congelación de crédito gratuita en las tres principales agencias de información crediticia, utilizar una autenticación multifactor robusta en sus cuentas tributarias y de servicios gubernamentales, y mantenerse atentos a los indicios de robo de identidad a largo plazo. Una congelación de crédito no cierra las cuentas existentes; dificulta la obtención de nuevos créditos sin autorización.

El número de personas afectadas o de registros publicado por la fuente oficial representa el alcance comunicado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a todas las personas. La cifra redondeada de 5,8 millones que aparece en los titulares de noticias y los totales provisionales menores de los documentos presentados en distintos estados no se suman por separado. La fecha del incidente es el 25 de octubre de 2025, el día verificado en que 700Credit detectó actividad sospechosa; el acceso a través del tercero que comenzó en julio se describe en la cronología sin inventar un día exacto.

Las cifras de personas, los campos de datos y las afirmaciones de los actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente. Este alcance puede revisarse si un organismo regulador emite una corrección o si la empresa publica un informe forense definitivo; el relato actual no va más allá de lo que respaldan las notificaciones oficiales y la cobertura independiente.