No pidieron rescate: simularon una transacción y vaciaron la empresa por 13 millones de dólares.
En este esquema ya no se puede negarse al pago; las pérdidas recayeron automáticamente sobre la víctima.
Los ciberataques rara vez terminan solo con el robo de archivos, y en el caso de Upbound, una empresa fintech estadounidense y propietaria de servicios de alquiler con opción a compra, los atacantes convirtieron los datos robados en mercancía por $13 millones, formalizando contratos de alquiler falsos a través del servicio Acima, propiedad de Upbound.
Upbound informó a la Comisión de Bolsa y Valores de EE. UU. que personas no identificadas obtuvieron acceso a parte de los datos y documentos de clientes. Luego los delincuentes usaron esa información para formalizar contratos en nombre de otras personas y retiraron mercancía de las tiendas conectadas a Acima.
El esquema permitió a los atacantes prácticamente saquear a la empresa sin transferir directamente dinero a sus cuentas. Acima pagó íntegramente a los vendedores por los bienes entregados, tras lo cual los arrendatarios debían efectuar pagos periódicos. Los delincuentes se llevaron las compras y dejaron de pagar, por lo que la carga financiera recayó en Upbound. La empresa estimó las pérdidas en el segundo trimestre en aproximadamente $13 millones.
La fuente no especificó qué bienes consiguieron los atacantes ni si lograron convertirlos en efectivo. Lo único que se sabe con certeza es que los delincuentes se apoderaron de bienes que pagó Acima. De este modo, el ataque proporcionó a los atacantes un beneficio material, en lugar de limitarse a generar gastos para causar daño a la empresa.
Upbound inició una investigación con la participación de expertos externos y notificó a las autoridades federales encargadas de hacer cumplir la ley. Ningún grupo de extorsionadores ha reivindicado hasta ahora la responsabilidad por el ataque. La empresa tampoco reveló el número de clientes afectados.
Para reducir el riesgo, Upbound está reforzando la verificación de la identidad de los usuarios, añadiendo mecanismos para detectar solicitudes fraudulentas y ampliando la vigilancia de operaciones sospechosas. La investigación continúa; una vez concluida, la empresa podría adoptar medidas adicionales.