Evolve Bank & Trust (Evolve) envoie des notifications de violation de données à 7,6 millions d'Américains dont les données ont été volées lors d'une récente attaque de ransomware LockBit.

En juin, LockBit a publié de fausses allégations selon lesquelles il aurait piraté la Réserve fédérale américaine. Il a été déterminé plus tard que les données divulguées appartenaient en réalité à Evolve Bank & Trust.

Evolve a confirmé à BleepingComputer que les données leur appartenaient et a lancé une enquête pour déterminer la portée et l'étendue de la violation de données.

L'enquête a révélé qu'un employé a cliqué sur un lien malveillant, ce qui a permis à un membre de Lockbit d'obtenir un accès non autorisé à la base de données et aux partages de fichiers d'Evolve, que l'attaquant a téléchargés.

Evolve a déclaré que les fonds des clients étaient restés en sécurité, mais a noté que l'attaque avait eu un impact sur plusieurs clients de la fintech. Affirm, Wise et Bilt ont confirmé de manière indépendante que l'attaque Lockbit chez Evolve avait eu un impact sur leurs clients.

Comme promis dans Evolve dernière mise à jour de statutla société a commencé à envoyer des notifications de violation de données aux personnes dont les informations personnelles ont été volées lors de l'attaque. Dans un dossier déposé auprès du bureau du procureur général du Maine, Evolve indique que 7 640 112 personnes ont été touchées par la violation.

« Le 29 mai 2024, Evolve a identifié que certains de ses systèmes ne fonctionnaient pas correctement », peut-on lire dans le communiqué. avis envoyé aux personnes concernées.

« Bien qu'il ait d'abord semblé s'agir d'une défaillance matérielle, nous avons appris par la suite qu'il s'agissait d'une activité non autorisée. »

Bien que la compromission ait été découverte le 29 mai, la notification de violation de données indique que la violation initiale s'est produite le 9 février 2024, donnant aux attaquants près de quatre mois de présence sur le réseau d'Evolve.

Evolve propose désormais deux ans de services de surveillance du crédit et de protection de l'identité pour les résidents américains et des services de surveillance du dark web pour les résidents internationaux. Les bénéficiaires doivent s'inscrire avant le 31 octobre 2024.

Evolve n'a pas indiqué quels types de données ont été exposés dans l'exemple de lettre. soumis aux autorités donc cette partie reste inconnue.

Il est conseillé aux personnes concernées d’être vigilantes face aux communications non sollicitées, de surveiller de près leurs relevés de compte et leurs antécédents de crédit et de signaler toute activité suspecte aux autorités.

Evolve a des partenariats actifs avec d'autres entités, notamment Shopify, Plaid, Stripe et Mercury, mais ces sociétés n'ont pas encore révélé si l'incident du ransomware Lockbit les avait affectées.

Shopify a récemment nié avoir subi une violation de données après qu'un acteur malveillant a tenté de vendre les données présumées de 180 000 utilisateurs de la plateforme de commerce électronique.

Les échantillons de données partagées incluent les noms complets, les adresses e-mail, les numéros de téléphone, les détails de la commande et les détails du compte Shopify.

La société a déclaré à BleepingComputer que la perte de données signalée a été causée par une application tierce qui avertira bientôt les clients concernés.