Im Mittelpunkt des Vorfalls steht nicht nur ein Datendiebstahl, sondern dessen unmittelbare Nutzung für Betrug. Wie Upbound in seiner Einreichung bei der SEC mitteilt, wurden „bestimmte nicht sensible Kundeninformationen und andere Dokumente“ ohne Berechtigung erlangt. Diese Informationen setzten die Angreifer anschließend ein, um über Acima unrechtmäßige Mietkaufvereinbarungen abzuschließen.

Nach Darstellung des Unternehmens lief der Betrug über das reguläre Acima-Modell mit angeschlossenen Händlern und E-Commerce-Anbietern. Die Täter beschafften sich Waren über das Mietkaufsystem, Acima bezahlte die teilnehmenden Händler, doch die vereinbarten Leasingraten blieben aus. Der finanzielle Verlust belief sich im Acima-Segment im zweiten Quartal dieses Jahres auf etwa 13 Millionen US-Dollar.

Upbound beschreibt Acima als Anbieter von Mietkauf-Zahlungsoptionen über Einzelhändler von Drittanbietern und über Online-Shops. Die Upbound Group selbst ist ein Anbieter von Finanzlösungen und Mietkaufprodukten und war früher unter dem Namen Rent-A-Center bekannt. Zum Unternehmen gehören die Marken Acima Leasing, Rent-A-Center, Brigit und Upbound Mexico.

Nach Entdeckung des Angriffs habe das Unternehmen nach eigenen Angaben sofort Maßnahmen zur Eindämmung und Behebung eingeleitet und dabei externe Cybersicherheitsexperten hinzugezogen. Zu diesen Schritten zählen verstärkte Authentifizierungskontrollen, zusätzliche Mechanismen zur Betrugserkennung sowie eine verbesserte Überwachung.

Zudem wurden laut Upbound Bundesstrafverfolgungsbehörden informiert. Die Untersuchung des Vorfalls läuft weiter; abhängig von den Ergebnissen will das Unternehmen weitere Maßnahmen ergreifen.

Die bislang gesicherten Erkenntnisse deuten laut Upbound darauf hin, dass der Cyberangriff nicht erheblich genug war, um Investitionsentscheidungen zu beeinflussen. Weitere Details nannte das Unternehmen in der SEC-Meldung nicht. BleepingComputer hat Upbound nach zusätzlichen Informationen gefragt, etwa zur Zahl betroffener Kunden, erhielt bis zur Veröffentlichung jedoch keine Antwort.

Öffentliche Bekennerschreiben liegen bisher ebenfalls nicht vor. Nach Angaben von BleepingComputer hat bislang weder eine Ransomware-Gruppe noch ein auf Datenerpressung spezialisierter Akteur den Angriff auf Upbound für sich reklamiert.