Wedbush Securities 2025年数据泄露事件

主要证据是 Wedbush Securities 的消费者通知，落款日期为2025年11月20日，该通知收录于马萨诸塞州和加利福尼亚州的监管记录中。这封代表公司发出的信函直接说明了面向互联网的应用程序存在的配置错误、可能发生访问的时间段、核查日期、涉及每位个人的数据字段、对相关环境采取的管控措施，以及身份保护服务。

加利福尼亚州总检察长办公室的记录提供了另一条官方披露渠道。Claim Depot 将两个州的备案材料与消费者信函联系起来，并独立概述了事件时间线和数据类别。各来源在涉事机构、配置错误、5月17日至7月11日的时间段，以及涉及姓名、金融机构名称、账号和 SSNs 的数据范围方面相互一致。

7月11日前后，Wedbush 发现一款面向互联网的内部应用程序存在配置错误，导致未经授权的访问成为可能。公司迅速采取措施保护该应用程序，并开始调查潜在访问的性质和范围。核查发现，未经授权的人员可能在5月17日至7月11日期间访问过该应用程序中范围有限的客户数据。

公开信函并未表示某些具体文件已确定被下载或外传，而是评估称相关人员“可能曾得以访问”。信函也未说明相关人员的身份、最初发现问题的方法、身份验证机制，或配置错误的技术细节。

受影响文件中的信息因人而异，但可能包括客户姓名、相关金融机构的名称、账号和社会保障号码。这些信息结合在一起，会带来较高风险，包括有针对性地冒充银行或证券经纪机构、发出欺诈性账户核验请求，以及实施身份盗用。

保护措施附录将出生日期、地址和政府签发的身份证件列为申请信用冻结时通常可能需要提供的资料。该部分并未确认这些信息在本次事件中可被访问。

金融机构名称可能帮助攻击者利用受害人与银行或证券经纪机构的真实业务关系，对其实施有针对性的攻击。账号可能被滥用于欺诈性转账请求、账户核验骗局或冒充客服。与 SSN 结合时，风险更高，但仅有账号泄露并不意味着密码泄露或登录权限被攻破。

官方通知未披露账户类型、银行路由号码、余额或持仓、交易记录、支付卡号码、PIN、在线账户密码或多因素身份验证代码。客户应留意账户中不熟悉的转账、新增收款人、联系信息变更和安全设置更新。

公开的州级文件未公布经过去重的全美受影响总人数。即使有马萨诸塞州或加利福尼亚州居民的受影响人数，也不能将其视为全美完整的受影响规模。

Wedbush 表示，截至信函日期，公司尚不知晓有任何与本次事件相关的信息滥用尝试或实际滥用行为。截至该日期未发现此类行为是一个积极信号，但并不保证未来不会发生欺诈。由于 SSNs 和账号属于长期有效或敏感的标识信息，通知接收者仍宜长期监测信用记录和金融账户。

公司采取措施保护了应用程序，立即着手保护相关环境，通知了执法部门，启动了影响范围调查，并审查了政策和流程。公司通过 Cyberscout 向符合条件的人员提供了12个月的免费信用监测服务（覆盖一家征信机构）、一份信用报告、信用评分，以及主动提供的反欺诈协助。

通知接收者应仅使用信函中的代码登记服务，并检查账户对账单和信用报告中是否存在不熟悉的查询或交易。如果涉及 SSN，可考虑向全部三家征信机构申请信用冻结、设置欺诈警报，以及申请 IRS 身份保护 PIN。帮助热线为 833-467-0739，服务时间为工作日美国东部时间上午8:00至晚上8:00。