700Credit 2025年数据泄露事件

700Credit 向受影响个人发出的通知函明确表示，其网页应用程序中与经销商客户有关的部分记录在未经授权的情况下被复制。向缅因州总检察长提交的这封通知函正式确认，该事件属于个人数据泄露，且通知范围涵盖5,836,521人。密歇根州总检察长也发布了面向消费者的警示，说明了事件情况和受影响的数据类型。

BleepingComputer 查阅了官方通知函及一名公司高管的声明，并报道称，攻击者通过一家被攻陷的第三方集成合作伙伴访问了一个 API，进而实施攻击。其报道对已确认的数据字段、调查时间线以及为期12个月的身份保护支持提供了独立佐证。LeakData 依据这些来源公布的调查结果，不对攻击者的身份或未公开的技术细节作出猜测。

据公司说明，攻击者于2025年7月进入了 700Credit 一家集成合作伙伴的系统，并发现了一个用于获取消费者信息的 API。该合作伙伴当时并未将系统遭到入侵的情况告知 700Credit。由于一项控制措施存在缺陷，未能充分核验消费者引用标识符与原始请求者之间的对应关系，攻击者得以在未经授权的情况下请求消费者记录。

10月25日发现异常活动后，700Credit 与外部计算机取证专家共同展开调查，并关闭了已暴露的 API。一名公司高管公开表示，攻击者获取了公司在2025年5月至10月期间从经销商处收集的消费者数据中的约20%。本记录的事件日期以公开来源中能够核实的最早技术活动为依据。

通知材料确认了四类数据：完整姓名、实际地址、出生日期和社会保障号码。由于公司表示记录内容因人而异，并非每个人的记录都一定包含这些相同字段。

所引用的来源并未将支付卡号码、银行账户密码、生物识别模板或驾驶执照号码列入已确认的范围，因此本记录不加入这些类别。虽然 700Credit 提供信用报告和身份验证产品，但不能据此认定其全部产品所使用的每类信息都已泄露；本记录仅涵盖通知中明确列出的四类信息。

700Credit 表示，其内部网络未被攻陷，事件仅限于 700Dealer.com 的应用层。攻击者最初通过一家集成合作伙伴获得访问权限，说明这是一起经由应用接口扩大的第三方连接风险事件。不过，在缺乏证据支持的情况下，本记录不会将这家未具名合作伙伴的所有系统，或 700Credit 的每家经销商客户，都视为发生了独立的数据泄露事件。

公司于11月21日开始通知受影响的经销商客户，并表示将于12月22日开始向个人发出书面通知。公司与全美汽车经销商协会协调后，代表自身及受影响的经销商客户向联邦贸易委员会提交了一份合并通知。各州总检察长和 FBI 也已收到有关这起事件的通知。

700Credit 通过 TransUnion 向受影响个人提供为期12个月的免费信用监测和身份恢复服务。收到通知的人应在通知所列截止日期前注册使用这些服务，定期查看信用报告，并及时报告不认识的账户或信用查询记录。对于看似来自该公司、却要求提供社会保障号码或付款的消息，应通过独立获取的联系渠道核实。

社会保障号码不易更换，因此仅靠短期监测可能不足以应对持续存在的风险。美国消费者可以向三家主要征信机构分别申请免费信用冻结，在税务和政府服务账户上使用安全性较高的多因素身份验证，并长期留意身份盗用迹象。信用冻结不会关闭现有账户，而是会增加未经授权开立新信用账户的难度。

官方来源公布的受影响人数或记录数量代表已报告的事件范围，并不意味着每位受影响者都涉及所有已披露的数据类别。新闻标题中以概数表述的580万人，以及各州单独提交文件中较小的阶段性统计数字，不会另行累加。本记录的事件日期为2025年10月25日，即已核实的 700Credit 发现可疑活动的日期；始于7月的第三方访问活动已在时间线中说明，但不虚构具体日期。

未经核实的人数、数据字段及有关威胁行为者的说法，不被纳入这起公开事件的范围。如果监管机构发布更正，或公司公布最终取证报告，可以重新评估事件范围；当前描述不超出官方通知和独立报道所能支持的内容。