AssuranceAmerica hat eine Datenpanne bekanntgegeben, die fast sieben Millionen Menschen betrifft, nachdem Angreifer durch einen Phishing-Angriff auf einen Mitarbeiter Zugriff auf Unternehmenssysteme erhalten hatten. Die Versicherung erklärte, dass bei dem Vorfall Führerscheinnummern, Versicherungsunterlagen und andere persönliche Informationen von Kunden in mehreren US-Bundesstaaten offengelegt wurden.
Laut Sicherheitsmeldungen begann der Einbruch am 16. März, als ein Mitarbeiter dazu gebracht wurde, Zugang zum Netzwerk des Unternehmens zu gewähren. AssuranceAmerica entdeckte am folgenden Tag verdächtige Aktivitäten und leitete mit Unterstützung externer Cybersicherheitsspezialisten eine Untersuchung ein.
Das Unternehmen stellte fest, dass die Angreifer auf Dateien zugegriffen haben, die Informationen zu 6.998.886 Personen enthielten. Die kompromittierten Daten variieren von Person zu Person, können aber Namen, Adressen, Geburtsdaten, Führerscheinnummern, Sozialversicherungsnummern, Steueridentifikationsnummern, Details der Kfz-Versicherungspolice, Schadensmeldungen, Fahrzeuginformationen und weitere persönliche Unterlagen umfassen.
AssuranceAmerica sagte, es gebe keine Hinweise darauf, dass Finanzkontoinformationen oder Zahlungskartendaten betroffen waren. Die offengelegten Informationen könnten jedoch dennoch ein erhebliches Identitätsdiebstahlrisiko darstellen, da sie von der Regierung ausgestellte Identifikationsnummern und versicherungsbezogene Unterlagen enthalten, die für Cyberkriminelle wertvoll sein könnten.
Der Versicherer begann im Juni, betroffene Personen per Post zu benachrichtigen, und bietet berechtigten Opfern kostenlose Kreditüberwachungs- und Identitätsschutzdienste an. Das Unternehmen ermutigt ihre Kunden außerdem, Kontoauszüge zu überprüfen, Kreditberichte zu überwachen und auf verdächtige Kommunikationen zu achten, die versuchen könnten, die gestohlenen Informationen auszunutzen.
Es wird angenommen, dass der Verstoß Versicherungsnehmer in mehr als einem Dutzend Bundesstaaten betraf. Die staatlichen Regulierungsbehörden haben ebenfalls Meldungen über Datenschutzverletzungen erhalten, wie es geltende Datenschutzgesetze vorgeschrieben sind.
AssuranceAmerica teilte mit, dass es nach dem Vorfall seine Sicherheitsmaßnahmen verstärkt hat, darunter die Verbesserung der Sicherheitsschulungen für Mitarbeiter und die Einführung zusätzlicher Schutzmaßnahmen, die das Risiko ähnlicher Phishing-Angriffe verringern sollen. Das Unternehmen hat nicht bekannt gegeben, ob die Angreifer identifiziert wurden oder ob während des Einbruchs Ransomware eingesetzt wurde.