Утечка данных SoFi Hong Kong в 2026 году

В письме клиентам SoFi Hong Kong сообщила, что обнаружила несанкционированный доступ через одного из своих поставщиков услуг к базе данных, принадлежащей SoFi Securities (Hong Kong) Limited. Представитель компании отдельно подтвердил утечку изданию BleepingComputer. Эти заявления из первоисточников подтверждают, что доступ к данным через стороннего поставщика услуг действительно состоялся, а не свидетельствуют лишь о подозрительной активности.

30 апреля, дата обнаружения, указанная компанией, а не дата первоначального доступа злоумышленника; она также не указывает, как долго он имел доступ к базе данных. В опубликованных сведениях не указаны использованная уязвимость, скомпрометированная учётная запись, сетевой путь доступа или способ вывода данных. Поскольку поставщик услуг не был назван, техническая ответственность за инцидент не приписывается какой-либо конкретной платформе или компании.

SoFi подтвердила доступ к клиентской базе данных, но заявила, что пока не знает, были ли затронуты персональные данные и, если да, какие их категории. Компания не подтвердила отдельно ни одну из следующих категорий затронутых данных: имена клиентов, контактные данные, документы, удостоверяющие личность, номера счетов, история транзакций, хеши паролей и финансовые записи.

Такое общее описание указывает тип системы, но не утверждает, что были похищены данные из всех полей клиентских записей. Эту запись можно дополнить более конкретными категориями данных, если расследование установит, какие строки и поля были просмотрены или скопированы.

SoFi не раскрыла, сколько клиентов пострадало, а её представитель отказался отвечать на дополнительные вопросы по этому поводу. Общее число клиентов или счетов SoFi Hong Kong нельзя использовать как итоговое число затронутых утечкой клиентов или счетов; копирование всей базы данных не было подтверждено. Компания не опубликовала общее число пострадавших или затронутых записей, которое можно было бы проверить. Отсутствие раскрытых данных о количестве не означает, что инцидент не имел последствий; это означает, что публичные источники не позволяют достоверно установить общее число.

Нулевое значение не означает, что инцидент не затронул ни одного клиента или не имел последствий. Уведомления клиентов и усиленный мониторинг затронутых аккаунтов указывают на возможные последствия для отдельных людей, но не позволяют определить общее число уникальных пострадавших.

Подтверждённый доступ был получен к базе данных, которую внешний поставщик услуг хранил по поручению SoFi Hong Kong. В сообщении не говорится, что были скомпрометированы все банковские, кредитные, инвестиционные или другие системы, которыми SoFi Technologies управляет в США.

Поскольку название поставщика услуг и сведения о каких-либо последствиях для других его клиентов не раскрыты, этот инцидент не следует объединять с не связанными с ним инцидентами в цепочках поставок. Упоминание стороннего поставщика услуг также не доказывает, что путь атаки проходил через конкретный SaaS-продукт, облачного провайдера или интеграцию. Пока не появятся подтверждающие доказательства, техническая атрибуция остаётся открытым вопросом.

После обнаружения инцидента SoFi привлекла внешнюю компанию по кибербезопасности, чтобы отреагировать на него и выяснить его масштаб и последствия. Для затронутых аккаунтов ввели дополнительные меры защиты и мониторинга. Компания сообщила, что при обращении в службу поддержки или внесении изменений в аккаунт от клиентов может потребоваться дополнительная информация для проверки.

Клиентам рекомендовали обращать внимание на подозрительные электронные письма и сообщения, попытки фишинга и необычную активность в аккаунтах. SoFi рекомендовала обновить пароли, по возможности включить двухфакторную аутентификацию, следить за финансовыми счетами и не открывать ссылки или вложения в нежелательных сообщениях. Это меры предосторожности, которые не подтверждают раскрытие каких-либо конкретных паролей или финансовых данных.

Эта запись подтверждает факт несанкционированного доступа к клиентской базе данных SoFi Hong Kong, но не указывает, к каким полям с персональными данными был получен доступ и сколько человек пострадало. Непроверенные сведения о числе пострадавших и полях данных, а также заявления злоумышленников не включаются в публичное описание масштаба инцидента. Описание сохраняет ту степень неопределённости, о которой сообщалось в ходе расследования.

Подтверждено, что SoFi Hong Kong обнаружила несанкционированный доступ к клиентской базе данных у стороннего поставщика услуг 30 апреля 2026 года, привлекла внешних экспертов, предупредила клиентов и ввела дополнительные меры защиты. Данные о поставщике услуг, злоумышленнике, техническом методе, числе пострадавших, категориях данных, к которым был получен доступ, и объёме копирования не раскрыты, поэтому в записи категория данных обозначена в общем виде, а общее количество, как неизвестное.