Heights Finance entdeckte den Vorfall nach eigenen Angaben am 7. Mai, als ein Angreifer Zugriff auf eine cloudbasierte Plattform erhielt, die von einem Drittanbieter gehostet wird und auf der das Unternehmen einen Teil der Kundendaten speichert. Das Unternehmen betonte, die Aktivität habe sich auf diese Plattform beschränkt und weder die Systeme zur Kreditverwaltung noch andere Computersysteme oder Netzwerke betroffen.
In der Mitteilung an Kunden erklärte Heights Finance weiter, die cloudbasierte Plattform sei inzwischen abgesichert und es gebe keine fortlaufende Sicherheitsbedrohung. Welche Hackergruppe hinter dem Angriff steht, ist bislang nicht bekannt; zu dem Vorfall hat sich nach Angaben des Unternehmens niemand bekannt.
Zu den kompromittierten Informationen zählen Kontaktangaben wie Adressen, Bankinformationen von Kontonummern bis zu Routing-Nummern sowie staatliche Identifikationsdaten. Dazu gehören laut Heights Finance Social-Security-Nummern, Steuer-IDs, Führerscheinnummern oder sonstige staatliche Ausweisnummern. Hinzu kommen alle personenbezogenen Daten, die im Rahmen von Kundenservice-Kontakten mitgeteilt wurden.
Betroffen sind laut Unternehmen Personen, die über Heights Finance ein Darlehen erhalten haben, ebenso wie Menschen, die sich über einen Drittanbieter nach einem Kreditprodukt erkundigt hatten. Der Vorfall umfasst außerdem einige Kunden der Muttergesellschaft Curo Management und ihrer verbundenen Marken.
Heights Finance mit Sitz in Greenville in South Carolina teilte mit, ein Cybersicherheitsunternehmen mit der Überwachung einschlägiger Bereiche des Dark Web beauftragt zu haben. Ein von Heights Finance zitierter Spezialist durchsuche aktiv Foren, Marktplätze und andere Plattformen. Zum Zeitpunkt der Mitteilung habe er keine Hinweise darauf gefunden, dass die in diesem Vorfall betroffenen Informationen im Dark Web aufgetaucht seien.
Das Unternehmen verfügt nach eigenen Angaben über mehr als 285 Standorte in 11 Bundesstaaten. Zuvor war Heights Finance von der US-Bundesregierung verklagt worden. In der Klage hieß es, das Unternehmen habe Kreditnehmer angesprochen, die Schwierigkeiten bei der Rückzahlung bestehender Darlehen hätten und deshalb zur Umschuldung gezwungen seien, um längere Zahlungsrückstände und Ausfälle zu vermeiden. Bundesanwälte erklärten, Heights Finance tue dies, weil sich mit Gebühren von häufig umschuldenden, unter Zahlungsdruck stehenden Kunden mehr Einnahmen erzielen ließen als mit pünktlich zahlenden Kreditnehmern. Das Verfahren wurde kurz nach dem Amtsantritt der Trump-Regierung eingestellt.