Nach Darstellung von Heights verschafften sich die Angreifer Zugriff auf eine cloudbasierte Plattform eines Drittanbieters, die für die Ablage von Kundendaten verwendet wurde. Der Kreditanbieter erklärt, die Plattform sei inzwischen abgesichert worden. Die Beeinträchtigung habe sich auf diese Umgebung beschränkt.
In der Mitteilung schreibt Heights, der Vorfall habe weder die Systeme zur Kreditverwaltung noch andere Computersysteme oder Netzwerke des Unternehmens betroffen. Wörtlich heißt es sinngemäß, man habe sofort die internen Reaktionsprotokolle aktiviert, externe Cybersicherheits-Spezialisten mit der Untersuchung beauftragt und den Vorfall den Bundesstrafverfolgungsbehörden gemeldet.
Nach Unternehmensangaben haben die Angreifer persönliche und finanzielle Daten eingesehen und entwendet. Dazu zählen Namen, Anschriften, E-Mail-Adressen, Telefonnummern, Sozialversicherungsnummern, Nummern staatlicher Ausweisdokumente, Führerscheinnummern, Bankkontoinformationen, Kontodetails, Geburtsdaten sowie weitere Informationen, die Kunden dem Unternehmen übermittelt hatten.
Betroffen sein können laut Heights nicht nur Personen, die einen Kredit über das Unternehmen erhalten haben. Die Benachrichtigung nennt auch Menschen, die sich nach einem Kreditprodukt erkundigt oder einen Antrag gestellt haben, auch über Dritte. Ebenfalls einbezogen sind ehemalige Kreditnehmer von Curo Management sowie früheren oder aktuellen verbundenen Marken.
Aus Meldungen an die Generalstaatsanwaltschaften mehrerer US-Bundesstaaten ergibt sich nach dem Bericht, dass mehr als 1,2 Millionen Personen betroffen sind. Genannt werden 734.828 Betroffene in Texas, 486.463 in South Carolina, 26 in New Hampshire und 21 in Vermont.
Heights bietet den Betroffenen nach eigenen Angaben 24 Monate lang kostenlose Dienste zur Überwachung von Kreditauskünften und zum Identitätsschutz an. Außerdem teilt das Unternehmen mit, seine Überwachung des Dark Web habe bislang keine Hinweise darauf ergeben, dass die bei dem Angriff gestohlenen Informationen dort veröffentlicht oder geteilt wurden.
Wer hinter dem Angriff steckt, hat Heights nicht benannt. Auch SecurityWeek hat nach eigenen Angaben keine bekannte Ransomware- oder Erpressungsgruppe gesehen, die die Tat für sich reklamiert hat.