Upbound meldet Verlust von 13 Millionen US-Dollar, nachdem gestohlene Daten betrügerische Acima-Mietkaufverträge ermöglichten

Die Upbound Group erklärt, dass Angreifer bei einem Cybersecurity-Vorfall erbeutete Informationen nutzten, um betrügerische Mietkaufverträge zu erstellen. Dadurch entstanden im zweiten Quartal 2026 bei der Acima-Sparte Verluste von etwa 13 Millionen US-Dollar.

In einer Meldung an die US-Börsenaufsichtsbehörde Securities and Exchange Commission erklärte das Unternehmen, dass unbefugte Personen bestimmte nicht sensible Kundeninformationen und andere Dokumente erlangt hätten. Das gestohlene Material sei anschließend dazu verwendet worden, Acima-Mietkaufverträge zu beantragen und über teilnehmende Einzelhändler und Online-Händler Waren zu erwerben.

Im Rahmen des Geschäftsmodells von Acima bezahlt das Unternehmen Einzelhändler für Waren, die über genehmigte Mietkaufvereinbarungen erworben werden. Bei den betrügerischen Transaktionen nahmen die Täter die Waren jedoch an sich und leisteten die erforderlichen Zahlungen nicht. Dadurch blieb Acima für die daraus entstandenen finanziellen Auswirkungen verantwortlich.

Upbound, ehemals unter dem Namen Rent-A-Center bekannt, betreibt mehrere Marken im Bereich Verbraucherfinanzierung und Mietkauf, darunter Acima Leasing, Rent-A-Center, Brigit und Upbound Mexico. Acima bietet Zahlungsoptionen über Drittanbieter im Einzelhandel und E-Commerce-Plattformen an.

Untersuchung und Reaktion

Das Unternehmen erklärte, es habe unmittelbar nach der Identifizierung des Vorfalls mit Maßnahmen zur Eindämmung und Behebung begonnen. Mit Unterstützung externer Cybersecurity-Spezialisten hat Upbound strengere Authentifizierungsanforderungen eingeführt, die Möglichkeiten zur Betrugserkennung erweitert und die Überwachung relevanter Systeme und Transaktionen verstärkt.

Auch Bundesstrafverfolgungsbehörden wurden informiert. Upbound erklärte, die Untersuchung dauere an und weitere Maßnahmen könnten folgen, sobald zusätzliche Informationen verfügbar seien. Auf Grundlage der bisher ausgewerteten Beweise geht das Unternehmen nicht davon aus, dass der Vorfall erheblich genug war, um Anlageentscheidungen zu beeinflussen.

Upbound hat nicht offengelegt, wie viele Kunden betroffen waren, und keine weiteren technischen Details zum Eindringen genannt. Zum Zeitpunkt der Berichterstattung hatte keine Ransomware-Operation oder Erpressergruppe öffentlich die Verantwortung für den Vorfall übernommen.