Evolve Bank & Trust (Evolve) envoie des avis de violation de données à 7,6 millions d’Américains dont les données ont été volées lors d’une récente attaque de ransomware LockBit.
En juin, LockBit a publié de fausses affirmations selon lesquelles il avait violé la Réserve fédérale américaine. Il a été déterminé plus tard que les données divulguées appartenaient en fait à Evolve Bank & Trust.
Evolve a confirmé à Breachtrace que les données leur appartenaient et a lancé une enquête pour déterminer la portée et l’étendue de la violation de données.
L’enquête a révélé qu’un employé avait cliqué sur un lien malveillant, ce qui avait permis à un membre de Lockbit d’obtenir un accès non autorisé à la base de données et aux partages de fichiers d’Evolve, que l’attaquant avait téléchargés.
Evolve a déclaré que les fonds des clients restaient en sécurité, mais a noté que l’attaque avait eu un impact sur plusieurs clients de la fintech. Affirm, Wise et Bilt ont confirmé indépendamment que l’attaque de Lockbit chez Evolve avait eu un impact sur leurs clients.
Comme promis dans la dernière mise à jour de statut d’Evolve, la société a commencé à envoyer des notifications de violation de données aux personnes dont les informations personnelles ont été volées lors de l’attaque. Dans un document déposé auprès du Bureau du procureur général du Maine, Evolve indique que 7 640 112 personnes ont été touchées par la violation.
« Le 29 mai 2024, Evolve a identifié que certains de ses systèmes ne fonctionnaient pas correctement », peut-on lire dans l’avis envoyé aux personnes concernées.
« Alors qu’il semblait initialement s’agir d’une panne matérielle, nous avons appris par la suite qu’il s’agissait d’une activité non autorisée. »
Bien que la compromission ait été découverte le 29 mai, la notification de violation de données indique que la violation initiale s’est produite le 09 février 2024, donnant aux attaquants près de quatre mois de temps de séjour dans le réseau d’Evolve.
Evolve offre maintenant deux ans de services de surveillance du crédit et de protection de l’identité pour les résidents américains et des services de surveillance du dark Web pour les résidents internationaux. Les bénéficiaires doivent s’inscrire avant le 31 octobre 2024.
Evolve n’a pas inclus les types de données exposés dans le modèle de lettre qu’il a soumis aux autorités, de sorte qu’une partie reste inconnue.
Il est conseillé aux personnes touchées d’être vigilantes face aux communications non sollicitées, de surveiller de près leurs relevés de compte et leurs antécédents de crédit et de signaler toute activité suspecte aux autorités.
Evolve a des partenariats actifs avec d’autres entités, notamment Shopify, Plaid, Stripe et Mercury, mais ces sociétés n’ont pas encore révélé si l’incident du ransomware Lockbit les avait touchées.
Shopify a récemment nié avoir subi une violation de données après qu’un acteur de la menace a tenté de vendre les données présumées de 180 000 utilisateurs de la plate-forme de commerce électronique.
Les échantillons de données partagées incluent les noms complets, les adresses e-mail, les numéros de téléphone, les détails de la commande et les détails du compte Shopify.
La société a déclaré à Breachtrace que la perte de données signalée avait été causée par une application tierce qui informera bientôt les clients concernés.