Утечка данных Wedbush Securities в 2025 году

Основное подтверждение, уведомление Wedbush Securities для клиентов от 20 ноября 2025 года, опубликованное в материалах регулирующих органов Массачусетса и Калифорнии. В письме от имени компании прямо описаны некорректно настроенное приложение с доступом через интернет, период возможного доступа, даты проверки, состав данных для конкретных лиц, меры по локализации инцидента и услуги по защите от мошеннического использования персональных данных.

Материалы генерального прокурора Калифорнии служат вторым официальным источником раскрытия информации. Claim Depot связывает документы, поданные в двух штатах, с письмом клиентам и независимо обобщает хронологию и категории данных. Источники согласуются в отношении организации, ошибки настройки, периода с 17 мая по 11 июля и перечня затронутых данных: имён, названий финансовых организаций, номеров счетов и номеров социального страхования (SSNs).

Примерно 11 июля Wedbush обнаружила, что внутреннее приложение с доступом через интернет было настроено некорректно, что создавало возможность несанкционированного доступа. Компания оперативно обеспечила защиту приложения и начала расследование характера и масштаба возможного доступа. Проверка показала, что с 17 мая по 11 июля посторонние лица могли получить доступ к ограниченному набору данных клиентов в приложении.

В опубликованном письме не говорится о подтверждённом скачивании или выводе конкретных файлов за пределы системы; в нём используется формулировка, согласно которой посторонние лица «могли иметь доступ». Также в письме не указано, кто мог получить доступ, как первоначально обнаружили инцидент, какой механизм аутентификации использовался и в чём технически заключалась ошибка настройки.

Состав информации в затронутых файлах различался в зависимости от человека, но мог включать имя клиента, название соответствующей финансовой организации, номер счёта и номер социального страхования. В совокупности эти сведения создают значительный риск адресных мошеннических обращений от имени банка или брокерской компании, фиктивных запросов на проверку счёта и мошенничества с использованием чужой личности.

В приложении с рекомендациями по защите даты рождения, адреса и государственные удостоверения личности перечислены как сведения и документы, которые в общем случае могут потребоваться для запроса заморозки кредитной истории. Этот раздел не подтверждает, что такие данные были доступны в ходе инцидента.

Зная название финансовой организации, злоумышленник может нацелиться на человека, используя тот факт, что он действительно является клиентом этого банка или брокерской компании. Номер счёта может использоваться в мошеннических запросах на перевод средств, схемах проверки счёта или при выдаче себя за сотрудника службы поддержки. В сочетании с SSN риск выше, однако сам по себе номер счёта не означает, что пароль или доступ к аккаунту были скомпрометированы.

В официальном уведомлении не раскрываются тип счёта, банковский маршрутный номер, остаток на счёте или инвестиционная позиция, история операций, номер платёжной карты, PIN, пароль для доступа через интернет или код многофакторной аутентификации. Клиентам следует проверять счета на наличие неизвестных переводов, новых получателей платежей, изменений контактных данных и настроек безопасности.

В опубликованных документах штатов не указано общее число затронутых лиц по всей стране с исключением повторного учёта. Число затронутых жителей Массачусетса или Калифорнии, если оно доступно, нельзя считать полным показателем масштаба инцидента по стране.

Wedbush сообщила, что на дату письма ей не было известно о попытках или фактических случаях неправомерного использования информации, связанных с инцидентом. Отсутствие таких сведений на указанную дату, хороший знак, но не гарантия защиты от мошенничества в будущем. Поскольку SSNs и номера счетов являются долговременными или чувствительными идентификаторами, получателям уведомления по-прежнему целесообразно вести долгосрочный мониторинг кредитной истории и финансовых счетов.

Компания обеспечила защиту приложения, приняла немедленные меры по защите среды, уведомила правоохранительные органы, начала расследование для определения масштаба инцидента и провела анализ политик и процедур. Лицам, имевшим право на эти услуги, предложили 12 месяцев бесплатного мониторинга кредитной истории в одном кредитном бюро, кредитный отчёт, кредитный балл и упреждающую помощь в противодействии мошенничеству через Cyberscout.

Для подключения к программе получателям уведомления следует использовать только код из своего письма, а также проверять выписки по счетам и кредитные отчёты на наличие неизвестных запросов или операций. Если инцидент затронул SSN, целесообразными мерами могут быть заморозка кредитной истории во всех трёх бюро, установка предупреждения о мошенничестве и получение IRS Identity Protection PIN. Линия поддержки по номеру 833-467-0739 работает по будням с 8:00 утра до 8:00 вечера по восточному времени.