Η FinWise Bank αποκάλυψε ότι υπέστη μια σημαντική παραβίαση δεδομένων που έθεσε σε κίνδυνο τις προσωπικές πληροφορίες εκατοντάδων χιλιάδων πελατών. Σύμφωνα με γνωστοποιήσεις που κατέθεσε η American First Finance (AFF), συνεργάτης της τράπεζας, ένας πρώην εργαζόμενος της FinWise κατάφερε να αποκτήσει πρόσβαση σε ευαίσθητα αρχεία, παρότι είχε αποχωρήσει από την εταιρεία.
Η αποκάλυψη έχει προκαλέσει έντονες ανησυχίες στον χρηματοοικονομικό τομέα, καθώς φανερώνει τα κενά που μπορεί να αφήσουν πίσω τους ανεπαρκείς έλεγχοι αποχώρησης προσωπικού. Το περιστατικό σημειώθηκε στις 31 Μαΐου 2024, ωστόσο ήρθε στη δημοσιότητα αρκετούς μήνες αργότερα, μέσα από έγγραφα που κατατέθηκαν στο γραφείο του Γενικού Εισαγγελέα του Μέιν.
Τι είναι η American First Finance και πώς συνδέεται με τη FinWise
Η American First Finance προσφέρει χρηματοδοτικά προϊόντα όπως δάνεια με δόσεις και προγράμματα leasing-to-own, τα οποία χρησιμοποιούνται από χιλιάδες καταναλωτές για αγορές καθημερινών αγαθών και υπηρεσιών. Η FinWise Bank λειτουργεί ως η τράπεζα που δημιουργεί και χρηματοδοτεί αυτά τα δάνεια, ενώ η AFF χειρίζεται τις αιτήσεις, τις αποπληρωμές και την εξυπηρέτηση πελατών.
Δείτε επίσης: Η Burger King αφαιρεί ανάρτηση που αποκαλύπτει αδυναμίες ασφαλείας στα συστήματα Drive-Thru
Η συνεργασία των δύο εταιρειών σημαίνει ότι μια πιθανή αδυναμία ασφαλείας στην πλευρά της FinWise έχει άμεσες συνέπειες για τους πελάτες της AFF. Αυτό ακριβώς συνέβη με την πρόσφατη παραβίαση, η οποία εκτιμάται ότι επηρέασε 600.000–689.000 άτομα, σύμφωνα με διαφορετικές καταθέσεις και αναφορές.
Τι εκτέθηκε και τι όχι
Η FinWise επιβεβαίωσε ότι ονόματα και προσωπικά δεδομένα πελατών παραβιάστηκαν από τον πρώην υπάλληλο, χωρίς όμως να διευκρινίσει ποια ακριβώς στοιχεία εκτέθηκαν. Δεν είναι ξεκάθαρο αν περιλαμβάνονται οικονομικά δεδομένα όπως αριθμοί λογαριασμών ή στοιχεία κοινωνικής ασφάλισης.
Η έλλειψη διαφάνειας έχει προκαλέσει δυσφορία σε πελάτες και επενδυτές, ιδιαίτερα καθώς η τράπεζα περιορίστηκε στο να προσφέρει δωρεάν παρακολούθηση πιστώσεων και προστασία ταυτότητας για έναν χρόνο, μέτρο που συχνά θεωρείται ανεπαρκές σε τόσο μεγάλης κλίμακας περιστατικά.
Πώς έγινε η παραβίαση;
Η μεγαλύτερη απορία που παραμένει αναπάντητη είναι πώς ένας πρώην εργαζόμενος είχε ακόμη ενεργά διαπιστευτήρια πρόσβασης. Σε οργανισμούς του χρηματοπιστωτικού τομέα, η απενεργοποίηση λογαριασμών μετά την αποχώρηση υπαλλήλων θεωρείται βασικός κανόνας ασφάλειας. Το γεγονός ότι δεν εφαρμόστηκε σωστά αφήνει εκτεθειμένη τη FinWise σε σοβαρές κατηγορίες για αμέλεια.
Δείτε επίσης: Νέα επίθεση SEO Poisoning στοχεύει χρήστες Windows
Αν και η τράπεζα προσέλαβε εξωτερικούς συμβούλους κυβερνοασφάλειας για να ερευνήσουν την υπόθεση, μέχρι στιγμής δεν έχει δοθεί μια σαφής εξήγηση. Αντίθετα, η διοίκηση δήλωσε απλά στην Επιτροπή Κεφαλαιαγοράς (SEC) ότι επηρεάστηκαν περίπου 600.000 πελάτες.
Οι νομικές συνέπειες
Η FinWise βρίσκεται πλέον αντιμέτωπη με πολλαπλές ομαδικές αγωγές στις Ηνωμένες Πολιτείες. Οι ενάγοντες κατηγορούν την τράπεζα για ανεπαρκή μέτρα ασφαλείας και αδυναμία προστασίας κρίσιμων προσωπικών δεδομένων. Οι δικαστικές διαμάχες αναμένεται να διαρκέσουν χρόνια και πιθανόν να κοστίσουν δεκάδες εκατομμύρια δολάρια σε αποζημιώσεις και συμβιβασμούς.
Η τράπεζα, πάντως, αρνείται να σχολιάσει λεπτομέρειες λόγω των εκκρεμών δικών.
Το ευρύτερο μήνυμα για τον τραπεζικό κλάδο
Το περιστατικό αυτό φωτίζει μια συχνά παραμελημένη πτυχή της ασφάλειας: τη διαχείριση insider threats, δηλαδή των απειλών που προέρχονται από το εσωτερικό ενός οργανισμού. Αν και οι περισσότερες εταιρείες επενδύουν σε συστήματα ανίχνευσης εξωτερικών επιθέσεων, δεν είναι λίγες οι φορές που οι μεγαλύτερες ζημιές προκαλούνται από ανθρώπους που έχουν —ή είχαν— νόμιμη πρόσβαση.
Δείτε επίσης: Fairmont Federal Credit Union: Παραβίαση δεδομένων επηρεάζει 187.000 άτομα
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Ειδικοί επισημαίνουν ότι οι τράπεζες και οι χρηματοοικονομικοί οργανισμοί πρέπει να εφαρμόζουν αυστηρότερους μηχανισμούς offboarding προσωπικού, όπως αυτόματη απενεργοποίηση λογαριασμών, τακτικούς ελέγχους πρόσβασης και καταγραφή όλων των ενεργειών των χρηστών.
Οι πελάτες στο επίκεντρο
Για τους καταναλωτές, η υπόθεση υπενθυμίζει την ευαλωτότητα των προσωπικών δεδομένων τους, ακόμη κι όταν συναλλάσσονται με θεσμικούς φορείς. Αν και η FinWise προσφέρει περιορισμένα μέτρα στήριξης, οι ειδικοί συνιστούν σε όσους επηρεάστηκαν να παρακολουθούν στενά τις οικονομικές τους δραστηριότητες, να ενεργοποιήσουν ειδοποιήσεις για ύποπτες κινήσεις και να εξετάσουν το πάγωμα πιστωτικών αναφορών.
Πηγή: www.bleepingcomputer.com
