Violação de dados da 700Credit em 2025

A carta de notificação da 700Credit às pessoas afetadas afirma explicitamente que determinados registros do aplicativo web relacionados às concessionárias clientes da empresa foram copiados sem autorização. O protocolo da carta junto à Procuradoria-Geral do Maine confirma oficialmente tanto que o evento foi uma violação de dados pessoais quanto que o alcance da notificação chegou a 5.836.521 pessoas. A Procuradoria-Geral de Michigan também publicou um alerta aos consumidores descrevendo o incidente e os tipos de dados afetados.

O BleepingComputer analisou a carta oficial e declarações de um executivo da empresa e relatou que o ataque utilizou uma API acessada por meio de um parceiro de integração terceirizado que havia sido comprometido. Sua cobertura corrobora de forma independente os campos de dados confirmados, a cronologia da investigação e os doze meses de suporte para proteção de identidade. A LeakData se baseia nas conclusões compartilhadas por essas fontes e não especula sobre a identidade do invasor nem sobre detalhes técnicos não divulgados.

Segundo o relato da empresa, um invasor acessou o sistema de um dos parceiros de integração da 700Credit em julho de 2025 e descobriu uma API usada para obter informações de consumidores. Na época, o parceiro não notificou a 700Credit sobre esse comprometimento. Uma falha em um controle que não validava adequadamente um identificador de referência do consumidor em relação ao solicitante original permitiu que o invasor solicitasse registros de consumidores sem autorização.

Após observar atividades incomuns em 25 de outubro, a 700Credit iniciou uma investigação com especialistas externos em perícia computacional e desativou a API exposta. Um executivo da empresa declarou publicamente que o invasor obteve cerca de vinte por cento dos dados de consumidores coletados de concessionárias entre maio e outubro de 2025. A data do incidente se baseia na primeira atividade técnica que pode ser verificada em fontes públicas.

Os materiais de notificação confirmam quatro categorias de dados: nomes completos, endereços físicos, datas de nascimento e números de Seguro Social. Os mesmos campos não estavam necessariamente presentes para todas as pessoas, pois a empresa afirmou que o conteúdo variava conforme o indivíduo.

As fontes citadas não incluem números de cartões de pagamento, senhas de contas bancárias, modelos biométricos ou números de carteiras de motorista no escopo confirmado. Por isso, essas categorias não são acrescentadas. Embora a 700Credit forneça produtos de relatórios de crédito e verificação de identidade, não se pode presumir que todos os tipos de informação usados em seu catálogo de produtos tenham sido afetados pela violação; o registro permanece limitado às quatro categorias explicitamente mencionadas na notificação.

A 700Credit afirmou que sua rede interna não foi comprometida e que o evento ficou limitado à camada do aplicativo 700Dealer.com. Como o acesso inicial ocorreu em um parceiro de integração, o caso envolve um risco de conexão com terceiros que se ampliou por meio de uma interface de aplicativo. No entanto, sem evidências que sustentem essa conclusão, o registro não trata cada sistema do parceiro não identificado ou cada concessionária cliente da 700Credit como uma violação separada.

A empresa começou a notificar as concessionárias clientes afetadas em 21 de novembro e afirmou que o envio de notificações por escrito às pessoas afetadas começaria em 22 de dezembro. Em coordenação com a National Automobile Dealers Association, apresentou uma notificação consolidada à Federal Trade Commission em seu próprio nome e em nome das concessionárias clientes afetadas. Os procuradores-gerais estaduais e o FBI também foram notificados sobre o incidente.

A 700Credit ofereceu às pessoas afetadas doze meses gratuitos de monitoramento de crédito e serviços de recuperação de identidade por meio da TransUnion. Quem recebeu a notificação deve se cadastrar antes do prazo indicado, consultar seus relatórios de crédito regularmente e informar prontamente qualquer conta ou consulta de crédito que não reconheça. Mensagens que aparentem vir da empresa, mas solicitem um número de Seguro Social ou um pagamento, devem ser verificadas por um canal de contato obtido de forma independente.

Como um número de Seguro Social não pode ser substituído facilmente, o monitoramento de curto prazo, por si só, pode não ser suficiente para lidar com o risco contínuo. Consumidores nos EUA podem solicitar um bloqueio de crédito gratuito nos três principais birôs de crédito, usar autenticação multifator robusta em contas de serviços fiscais e governamentais e acompanhar, no longo prazo, possíveis sinais de roubo de identidade. Um bloqueio de crédito não encerra contas existentes; ele dificulta a abertura de novas linhas de crédito sem autorização.

O número de pessoas afetadas ou de registros publicado pela fonte oficial representa o alcance informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. O número arredondado de 5,8 milhões nas manchetes e os totais parciais menores nos documentos protocolados em estados específicos não são somados separadamente. A data do incidente é 25 de outubro de 2025, dia verificado em que a 700Credit detectou atividades suspeitas; o acesso por meio do terceiro, iniciado em julho, é descrito na cronologia sem inventar um dia exato.

Números de pessoas, campos de dados e alegações sobre o agente de ameaça que não tenham sido verificados não são tratados como parte do escopo público do incidente. Esse escopo poderá ser reavaliado se um órgão regulador emitir uma correção ou se a empresa publicar um relatório pericial final; o relato atual não vai além do que é sustentado pelas notificações oficiais e pela cobertura jornalística independente.