消費者金融Heights Finance、120万人超の個人情報流出を公表 サードパーティのクラウド基盤が標的に

概要

個人向けローンを手がける米消費者金融Heights Financeは、サードパーティが運営するクラウドベースのプラットフォームへの不正アクセスにより、少なくとも120万人分の個人情報が流出したことを明らかにした。侵害が発覚したのは2026年5月7日で、不正な第三者が顧客情報を保管するクラウド環境にアクセスし、その中の情報を閲覧または複製した可能性があるという。同社は「この活動はクラウドベースのプラットフォームに限定されており、ローン管理システムやその他の社内コンピューターシステム・ネットワークには影響していない」と説明しており、社内の基幹システムは無事だったとしている。

影響を受けたのは、Heights Financeの現顧客やローン申込者、問い合わせを行った人物に加え、旧親会社であるCURO Managementおよび関連ブランドの顧客も含まれる。州別ではテキサス州で約73万4,828人、サウスカロライナ州で約48万6,463人が影響を受けたとされるほか、ニューハンプシャー州やバーモント州などでも少数ながら被害が確認されている。

流出した情報と想定されるリスク

流出した可能性のある情報には、氏名、住所、メールアドレス、電話番号、生年月日といった基本的な個人情報に加え、社会保障番号(SSN)、運転免許証番号などの政府発行ID、さらに銀行口座番号や支店名を含む金融情報が含まれる。カスタマーサービスとのやり取りの中で顧客が提供した個人的な事情に関する情報も対象になったとみられる。

SSNや生年月日、住所、銀行情報が組み合わさって流出したことで、なりすましによる不正契約、金融詐欺、アカウント乗っ取り、精巧なフィッシング詐欺など、被害者が直面するリスクは多岐にわたると指摘されている。一方で、これまでのところ本件の犯行を主張する脅威アクターやランサムウェア・恐喝グループは確認されておらず、ダークウェブの監視でも盗まれたデータが公開・流通した形跡は見つかっていないという。

企業の対応

Heights Financeはインシデント対応プロトコルを発動し、外部のサイバーセキュリティ専門家を関与させるとともに、連邦法執行機関にも通報した。同社は問題のプラットフォームをすでに保全済みとしており、現時点で継続的な脅威はないと説明している。また、影響を受けた個人に対しては24カ月間の無償クレジットモニタリングおよびID盗難保護サービスを提供するとしている。

正式な通知をまだ受け取っていないものの自身が影響を受けている可能性があると考える顧客に対しては、身に覚えのない連絡に記載された連絡先ではなく、公式に確認済みの連絡先を通じてHeights Financeに直接問い合わせるよう呼びかけられている。