Kebocoran Data 700Credit Berdampak pada 5,8 Juta Pelanggan Dealer Kendaraan

Perusahaan layanan keuangan dan fintech asal Amerika Serikat, 700Credit, mengonfirmasi insiden kebocoran data yang berdampak pada lebih dari 5,8 juta pelanggan dealer kendaraan. Perusahaan mulai mengirimkan pemberitahuan resmi kepada individu yang terdampak setelah penyelidikan internal memastikan adanya akses tidak sah terhadap data konsumen.

Insiden ini berawal dari serangan siber yang terjadi pada Juli lalu, ketika pelaku berhasil membobol salah satu mitra integrasi 700Credit. Dari sistem mitra tersebut, penyerang menemukan antarmuka pemrograman aplikasi (API) yang dapat digunakan untuk mengambil informasi pelanggan. Yang menjadi sorotan, mitra integrasi tersebut tidak segera memberi tahu 700Credit mengenai kompromi yang terjadi.

Aktivitas Mencurigakan Terdeteksi Terlambat

700Credit baru menyadari adanya aktivitas mencurigakan di sistemnya pada 25 Oktober. Perusahaan kemudian meluncurkan investigasi menyeluruh dengan melibatkan spesialis forensik komputer pihak ketiga. Hasil penyelidikan menunjukkan bahwa sejumlah catatan dalam aplikasi web yang berkaitan dengan pelanggan dealer klien 700Credit telah disalin tanpa izin.

Menurut Managing Director 700Credit, Ken Hill, pelaku berhasil mencuri sekitar 20 persen data konsumen dalam rentang waktu Mei hingga Oktober, sebelum perusahaan akhirnya menonaktifkan API yang terekspos tersebut.

Celah Keamanan API Jadi Titik Masuk

Eksfiltrasi data dimungkinkan akibat kelemahan keamanan pada API, khususnya kegagalan sistem dalam memvalidasi consumer reference ID terhadap pihak peminta data. Celah ini memungkinkan pelaku mengakses informasi sensitif tanpa otorisasi yang semestinya.

Jenis data yang terpapar dalam insiden ini mencakup:

• Nama lengkap
• Alamat fisik
• Tanggal lahir
• Nomor Jaminan Sosial (SSN)

Dampak Luas di Industri Otomotif

700Credit dikenal sebagai salah satu penyedia terbesar layanan laporan kredit, verifikasi identitas, serta solusi kepatuhan dan pencegahan penipuan bagi dealer otomotif di Amerika Serikat. Perusahaan ini melayani lebih dari 23.000 dealer di sektor otomotif, RV, Powersports, dan Marine.

Sebagai bagian dari respons insiden, 700Credit telah mengajukan pemberitahuan kebocoran data ke Federal Trade Commission (FTC) atas nama perusahaan dan secara kolektif mewakili seluruh klien dealer yang terdampak. Dengan langkah ini, para dealer tidak perlu lagi mengajukan laporan terpisah ke FTC maupun kantor jaksa agung negara bagian.

Selain itu, 700Credit juga telah memberi tahu National Automobile Dealers Association (NADA) untuk meningkatkan kesadaran di kalangan pelaku industri.

Layanan Perlindungan Identitas Gratis

Untuk membantu memitigasi risiko bagi individu yang terdampak, 700Credit menawarkan layanan perlindungan identitas dan pemantauan kredit gratis selama 12 bulan melalui TransUnion. Penerima pemberitahuan memiliki waktu 90 hari untuk mendaftar layanan tersebut.

Pelanggan yang terdampak juga disarankan untuk memantau aktivitas akun mereka secara berkala dan mempertimbangkan penerapan security freeze guna mencegah penyalahgunaan data lebih lanjut.

Hingga saat ini, belum ada kelompok ransomware yang mengklaim bertanggung jawab atas serangan tersebut, dan belum ada pernyataan tambahan dari pihak 700Credit terkait detail teknis insiden.