Утечка данных Figure в 2026 году

В этой утечке подтверждено наличие следующих типов данных: полное имя, адрес электронной почты, номер телефона, почтовый адрес и дата рождения. По отдельности эти сведения могут не создавать столь же прямой угрозы доступа к аккаунту, как пароль. Однако в совокупности они позволяют составить подробный профиль для установления личности и целевой социальной инженерии. Адрес электронной почты могут использовать для связи с пользователем, номер телефона (для звонков или SMS-рассылок, а почтовый адрес) для создания впечатления, что отправитель действительно обслуживает этого клиента. Дата рождения также может помочь подобрать ответы на вопросы, которые задают для проверки личности в контактных центрах.

Поскольку в инциденте Figure наличие полей с паролями или данными платёжных карт не подтверждено, основные риски связаны скорее с проверкой личности, поддельными звонками от службы поддержки и манипулированием финансовыми решениями, чем с захватом аккаунта. Злоумышленники могут связаться с человеком под предлогом кредитной заявки, проверки аккаунта, согласования графика платежей, подтверждения личности или обновления документов. Зная имя, адрес и номер телефона пользователя, они могут выдавать себя за настоящих представителей компании. Поэтому инцидент требует повышенной осторожности, даже если в данных нет сведений, позволяющих напрямую войти в финансовые аккаунты.

В этой записи подтверждено 967 178 уникальных адресов электронной почты. Дата инцидента: 28 января 2026 года, а записи были публично раскрыты в феврале 2026 года. Данные связаны с платформой Figure, и компания признала, что доступ был получен с помощью социальной инженерии. Это различие важно: риск для пользователей связан не только с технической уязвимостью, но и с возможным манипулированием внутренними процедурами предоставления доступа.

Подтверждённые в этой записи поля ограничиваются контактными данными и сведениями о личности. Пароли, хеши паролей, реквизиты платёжных карт, банковские счета, кредитные отчёты, кредитные рейтинги, официальные документы, удостоверяющие личность, средства клиентов и остатки по операциям не входят в число подтверждённых категорий данных. Пользователям следует учитывать это ограничение: не нужно паниковать так, будто в утечке присутствовали и неподтверждённые поля. Однако важно помнить, что сочетание имени, адреса, номера телефона и даты рождения может стать весомым средством убеждения при попытках финансового мошенничества.

Наибольшему риску подвергаются люди, которые через Figure пользовались кредитными услугами, финансированием, финансовыми продуктами, связанными с жильём, или цифровыми финансовыми сервисами. Даже пользователи, обращавшиеся к платформе только за информацией, могли передать свой адрес электронной почты, номер телефона и адрес. Кроме того, люди, активно ищущие финансовые услуги, могут быстрее реагировать на поддельные сообщения об одобрении кредита, безопасности аккаунтов, недостающих документах, изменении процентных ставок или обновлении графика платежей.

Для пользователей, чьи номера телефонов и даты рождения присутствуют в данных, риск не ограничивается обычными фишинговыми письмами. Звонки, текстовые сообщения и обращения через мессенджеры могут выглядеть убедительнее. Особенно осторожными следует быть тем, кто использует один и тот же номер телефона для банковских аккаунтов, кредитных карт, инвестиций, криптовалют, страхования и электронных государственных услуг. Наличие адреса также помогает злоумышленникам создавать правдоподобные сценарии с учётом места проживания пользователя или истории доставок.

Если у вас есть аккаунт, связанный с Figure, сначала проверьте историю входов и настройки безопасности. Хотя наличие паролей в этой записи не подтверждено, на финансовых аккаунтах с тем же адресом электронной почты следует включить двухфакторную аутентификацию. Поскольку ваша электронная почта служит основным каналом для сброса паролей в финансовых сервисах, крайне важно защитить её надёжным уникальным паролем. Если вы заметите неизвестное устройство, неожиданное уведомление о сбросе пароля или заявку, которую не подавали, свяжитесь с соответствующей организацией напрямую через её официальный канал поддержки.

Не выполняйте поступившие по телефону или электронной почте запросы, связанные с кредитами, проверкой аккаунта, обновлением документов, графиком платежей или проверками безопасности, переходя по предоставленной ссылке. Вместо этого самостоятельно введите домен организации в браузере и войдите в аккаунт либо воспользуйтесь официальным зарегистрированным приложением. Даже если звонящий знает ваше имя, адрес или дату рождения, само по себе это не доказывает, что ему можно доверять. Любые запросы на проведение финансовых операций, предоставление фотографий для подтверждения личности, одноразовых кодов, паролей или совершение платежей необходимо проверять через отдельный канал.

Инцидент показывает, что социальная инженерия в финансовой сфере может быть направлена не только на пользователей, но и на сотрудников. Для долгосрочной защиты пользователям следует сделать базовыми привычками использование уникального пароля для каждого финансового аккаунта, надёжной двухфакторной аутентификации и регулярную проверку активных сеансов. Поскольку адреса электронной почты и номера телефонов часто остаются неизменными годами, после публикации эти сведения могут многократно использоваться в разных кампаниях. Поэтому к подозрительным обращениям следует относиться серьёзно не только сразу после инцидента, но и в последующие годы.

Со стороны компаний необходимы ограничение доступа сотрудников по принципу минимальных привилегий, отслеживание необычного доступа к данным в реальном времени и дополнительные проверки для противодействия социальной инженерии. Защита клиентских данных, часть доверительных отношений в финансовой сфере. Поэтому к защите имени, адреса, номера телефона и даты рождения предъявляются высокие требования, даже если эти поля не содержат непосредственно платёжной информации. Для снижения рисков важны прозрачное информирование после инцидента, чёткое описание его масштаба и конкретные рекомендации клиентам по обеспечению безопасности.

Если ваш адрес электронной почты присутствует в этой записи, проверьте свои прошлые обращения к Figure или связанным финансовым сервисам. Если у вас есть аккаунт, пересмотрите настройки безопасности, включите двухфакторную аутентификацию и усильте защиту электронной почты. Включите уведомления на финансовых платформах, где вы используете тот же номер телефона и адрес электронной почты. Если вы получите неожиданное сообщение о кредитной заявке, изменении адреса, запросе документов или безопасности аккаунтов, обращайтесь через официальные каналы организации, а не по ссылкам из сообщения.

Утечка данных создаёт риск использования персональных сведений для финансового мошенничества, даже если перечень подтверждённых полей ограничен. Отсутствие пароля или данных платёжной карты существенно ограничивает риск для пользователя. Однако сочетание имени, адреса, номера телефона и даты рождения может помочь злоумышленникам подготовить убедительные сценарии разговоров. Наиболее разумный подход, использовать надёжные средства проверки на всех финансовых аккаунтах, никому не сообщать одноразовые коды, не выполнять срочные запросы без проверки через отдельный канал и помнить, что персональные сведения со временем могут повторно использоваться в разных попытках мошенничества.