Upbound beschreibt den Vorfall in seiner SEC-Einreichung als Datenabfluss, bei dem Hacker nicht sensible Kundeninformationen und weitere Dokumente erlangten. Welche konkreten Dokumente betroffen waren, geht aus dem Text nicht hervor. Ebenso bleibt offen, auf welchem Weg die Angreifer an die Daten gelangten.
Nach Darstellung des Unternehmens blieb es nicht bei dem Abfluss der Informationen. Upbound geht davon aus, dass die erlangten Daten anschließend dazu verwendet wurden, betrügerische Lease-to-own-Verträge zu erleichtern. Besonders betroffen war laut der Mitteilung das Acima-Segment, in dem sich die Verluste aus betrügerischen Verträgen im zweiten Quartal 2026 auf etwa 13 Millionen US-Dollar erhöhten.
Das Unternehmen ist in den USA mit Mietkauf- und flexiblen Zahlungsmodellen aktiv und tritt dabei unter den Marken Rent-A-Center, Acima und Brigit auf. Gerade vor diesem Hintergrund ist bemerkenswert, dass Upbound den finanziellen Effekt des Vorfalls direkt mit betrügerischen Vertragsabschlüssen verknüpft. Die Formulierung in der SEC-Meldung macht deutlich, dass Upbound den Missbrauch der abgeflossenen Informationen als wesentlichen Faktor für diese Verluste ansieht.
Wer hinter den Angriffen steckt, ist bislang unklar. Dem Bericht zufolge hat keine bekannte Cybercrime-Gruppe das Unternehmen auf einer eigenen Leak-Website aufgeführt. Das lässt die Zuordnung des Vorfalls offen und bietet keinen Hinweis darauf, ob es sich um eine bekannte Tätergruppe handelt.
Upbound hat nach eigenen Angaben die Strafverfolgungsbehörden eingeschaltet. Zusätzlich wurden externe Cybersicherheitsexperten beauftragt, die Sicherheitsmaßnahmen des Unternehmens zu verbessern. Weitere Details zu den eingeleiteten technischen oder organisatorischen Schritten nennt die SEC-Offenlegung nicht.
Die Untersuchung dauert an. Trotz des entstandenen finanziellen Schadens erklärte Upbound zum Zeitpunkt der Offenlegung gegenüber der SEC, nach der damaligen Einschätzung seien die Vorfälle nicht wesentlich. Diese Bewertung steht neben der zugleich genannten Schadenssumme von rund 13 Millionen US-Dollar im Acima-Geschäft.