Upbound Ungkap Peretasan Picu Kerugian US$13 Juta dari Sewa Acima Palsu
Perusahaan fintech Upbound Group mengungkap bahwa data yang dicuri dari sistemnya telah digunakan pelaku ancaman untuk membuat perjanjian sewa Acima palsu, dengan dampak kerugian sekitar US$13 juta pada kuartal kedua tahun ini.
Dalam pengajuan kepada regulator pasar modal Amerika Serikat, Upbound menyatakan mengalami insiden keamanan siber yang menyebabkan sejumlah informasi pelanggan non-sensitif dan dokumen lain diperoleh tanpa otorisasi. Data tersebut kemudian dimanfaatkan untuk melakukan penipuan pada skema lease-to-own milik Acima.
Upbound Group, yang sebelumnya dikenal sebagai Rent-A-Center, mengoperasikan beberapa merek di sektor pembiayaan alternatif dan penyewaan, termasuk Acima Leasing, Rent-A-Center, Brigit, serta Upbound Mexico. Acima sendiri menyediakan opsi pembayaran lease-to-own melalui retailer pihak ketiga dan platform e-commerce.
Data Curian Dipakai untuk Membuat Perjanjian Sewa Palsu
Menurut pengajuan tersebut, pelaku menggunakan data pelanggan dan dokumen yang dicuri untuk memperoleh barang melalui sistem lease-to-own Acima dengan perjanjian yang bersifat curang. Dalam skema itu, Acima membayar retailer yang berpartisipasi untuk barang yang dibeli melalui perjanjian tersebut.
Masalahnya, pelaku kemudian mengambil barang tersebut dan tidak melakukan pembayaran sewa yang diwajibkan. Pola ini menyebabkan kerugian sekitar US$13 juta pada segmen Acima selama kuartal kedua.
Perusahaan menyebut informasi yang terdampak sebagai data pelanggan non-sensitif, tetapi belum memberikan rincian publik mengenai jumlah pelanggan yang terdampak atau jenis dokumen yang diakses. Hingga laporan ini disusun, belum ada kelompok ransomware atau pelaku pemerasan data yang secara terbuka mengklaim serangan terhadap Upbound.
Upbound Perketat Autentikasi dan Deteksi Fraud
Setelah mendeteksi insiden tersebut, Upbound mengatakan telah menjalankan langkah mitigasi dan pemulihan dengan dukungan pakar keamanan siber eksternal. Perusahaan juga memberi tahu aparat penegak hukum federal terkait insiden ini.
Langkah yang telah dilakukan mencakup peningkatan kontrol autentikasi, penambahan mekanisme deteksi fraud, serta penguatan pemantauan. Upbound masih melanjutkan investigasi dan menyatakan akan mengambil tindakan tambahan sesuai hasil temuan.
Berdasarkan bukti yang ditemukan sejauh ini, perusahaan menilai serangan tersebut tidak cukup signifikan untuk memengaruhi keputusan investasi. Meski begitu, kasus ini memperlihatkan bagaimana kebocoran data yang tampak terbatas tetap dapat berkembang menjadi fraud bernilai besar ketika digabungkan dengan proses transaksi digital.
