Утечка данных 700Credit в 2025 году

В письме-уведомлении 700Credit пострадавшим прямо говорится, что определённые записи в веб-приложении, связанные с автодилерами, клиентами компании, были скопированы без разрешения. Это письмо, поданное генеральному прокурору штата Мэн, официально подтверждает как сам факт утечки персональных данных, так и охват уведомления: 5 836 521 человек. Генеральный прокурор штата Мичиган также опубликовал предупреждение для потребителей с описанием инцидента и затронутых типов данных.

Издание BleepingComputer изучило официальное письмо и заявления одного из руководителей компании и сообщило, что при атаке использовался API, доступ к которому был получен через скомпрометированного стороннего интеграционного партнёра. Публикация независимо подтверждает установленные категории данных, хронологию расследования и предоставление поддержки для защиты от кражи личности в течение двенадцати месяцев. LeakData опирается на сведения из этих источников и не выдвигает предположений о личности злоумышленника или нераскрытых технических деталях.

По версии компании, в июле 2025 года злоумышленник проник в систему одного из интеграционных партнёров 700Credit и обнаружил API для получения сведений о потребителях. Партнёр тогда не уведомил 700Credit об этой компрометации. Недостаток механизма контроля, не обеспечивавшего надлежащую проверку привязки идентификатора потребителя к исходному отправителю запроса, позволил злоумышленнику запрашивать записи о потребителях без разрешения.

Обнаружив необычную активность 25 октября, 700Credit начала расследование с привлечением внешних специалистов по компьютерной криминалистике и отключила затронутый API. Один из руководителей компании публично заявил, что злоумышленник получил примерно двадцать процентов данных о потребителях, собранных у автодилеров с мая по октябрь 2025 года. Дата инцидента определяется по самой ранней технической активности, которую можно подтвердить по открытым источникам.

Материалы уведомления подтверждают четыре категории данных: полные имена, почтовые адреса, даты рождения и номера социального страхования. Не у каждого человека обязательно присутствовали все эти сведения: по заявлению компании, состав данных различался в зависимости от человека.

Приведённые источники не включают номера платёжных карт, пароли к банковским счетам, биометрические шаблоны или номера водительских удостоверений в подтверждённый объём утечки. Поэтому эти категории не добавляются. Хотя 700Credit предлагает продукты для предоставления кредитных отчётов и проверки личности, нельзя считать, что утечка затронула все типы сведений, используемых во всей линейке её продуктов. Эта запись ограничивается четырьмя категориями, прямо названными в уведомлении.

700Credit заявила, что её внутренняя сеть не была скомпрометирована, а инцидент затронул только уровень приложения 700Dealer.com. Первоначальный доступ был получен у интеграционного партнёра, поэтому речь идёт о риске стороннего подключения, реализовавшемся через интерфейс приложения. При этом без подтверждающих доказательств эта запись не рассматривает каждую систему неназванного партнёра или каждого автодилера, клиента 700Credit как отдельный случай утечки.

Компания начала уведомлять затронутых автодилеров-клиентов 21 ноября и заявила, что отправка письменных уведомлений физическим лицам начнётся 22 декабря. По согласованию с National Automobile Dealers Association она подала сводное уведомление в Федеральную торговую комиссию от своего имени и от имени затронутых автодилеров-клиентов. Об инциденте также уведомили генеральных прокуроров штатов и FBI.

700Credit предложила пострадавшим двенадцать месяцев бесплатного мониторинга кредитной истории и помощи в устранении последствий кражи личности через TransUnion. Получателям уведомлений следует зарегистрироваться для получения этих услуг до указанного срока, регулярно проверять свои кредитные отчёты и незамедлительно сообщать о незнакомых счетах или запросах кредитной истории. Сообщения, которые выглядят как отправленные компанией, но содержат просьбу предоставить номер социального страхования или внести платёж, следует проверять через независимо найденный канал связи.

Поскольку заменить номер социального страхования непросто, одного краткосрочного мониторинга может быть недостаточно для защиты от сохраняющегося риска. Потребители в США могут бесплатно заморозить свою кредитную историю во всех трёх крупнейших кредитных бюро, использовать надёжную многофакторную аутентификацию в налоговых и государственных аккаунтах и в долгосрочной перспективе следить за признаками кражи личности. Защитная заморозка кредитной истории не закрывает существующие счета, но затрудняет оформление новых кредитов без разрешения.

Опубликованное официальным источником число пострадавших или записей отражает заявленный масштаб инцидента. Оно не означает, что каждая из раскрытых категорий данных относилась к каждому человеку. Округлённое число 5,8 миллиона в новостных заголовках и меньшие промежуточные показатели в документах отдельных штатов не прибавляются отдельно. Дата инцидента: 25 октября 2025 года, подтверждённый день обнаружения подозрительной активности компанией 700Credit. Доступ через стороннего партнёра, начавшийся в июле, описан в хронологии без выдуманной точной даты.

Неподтверждённые сведения о числе людей и категориях данных, а также неподтверждённые заявления злоумышленников не включаются в публичное описание масштаба инцидента. Его можно пересмотреть, если регулятор выпустит исправление или компания опубликует окончательный отчёт компьютерно-криминалистического расследования. Текущее описание не выходит за пределы сведений, подкреплённых официальными уведомлениями и независимыми публикациями.