Upbound segnala una perdita di 13 milioni di dollari dopo che i dati sottratti hanno consentito di stipulare contratti Acima fraudolenti

Upbound Group afferma che gli aggressori hanno utilizzato informazioni sottratte durante un incidente di cybersecurity per creare contratti fraudolenti di locazione con riscatto, causando perdite per circa 13 milioni di dollari presso la divisione Acima nel secondo trimestre del 2026.

In una comunicazione presentata alla U.S. Securities and Exchange Commission, la società ha dichiarato che soggetti non autorizzati hanno ottenuto alcune informazioni non sensibili sui clienti e altri documenti. Il materiale sottratto sarebbe stato quindi utilizzato per richiedere contratti Acima e acquistare merci tramite rivenditori aderenti e commercianti online.

Secondo il modello di business di Acima, la società paga i rivenditori per i beni ottenuti attraverso accordi approvati di locazione con riscatto. Nelle transazioni fraudolente, tuttavia, gli autori hanno prelevato la merce senza effettuare i pagamenti richiesti, lasciando Acima responsabile delle conseguenti perdite finanziarie.

Upbound, precedentemente nota come Rent-A-Center, gestisce diversi marchi di finanziamento al consumo e di locazione con riscatto, tra cui Acima Leasing, Rent-A-Center, Brigit e Upbound Mexico. Acima offre opzioni di pagamento tramite rivenditori terzi e piattaforme di commercio elettronico.

Indagini e risposta

La società ha dichiarato di aver avviato le attività di contenimento e risoluzione non appena ha identificato l'incidente. Con l'assistenza di specialisti esterni di cybersecurity, Upbound ha introdotto requisiti di autenticazione più rigorosi, potenziato le capacità di rilevamento delle frodi e incrementato il monitoraggio dei sistemi e delle transazioni pertinenti.

Anche le agenzie federali preposte all'applicazione della legge sono state informate. Upbound ha dichiarato che le proprie indagini sono ancora in corso e che potrebbero essere adottate ulteriori misure con il progredire degli accertamenti. Sulla base delle evidenze esaminate finora, la società non ritiene che l'incidente sia stato abbastanza significativo da influenzare le decisioni di investimento.

Upbound non ha comunicato quanti clienti siano stati coinvolti né ha fornito ulteriori dettagli tecnici sull'intrusione. Al momento della pubblicazione, nessuna operazione ransomware o gruppo di estorsione aveva rivendicato pubblicamente la responsabilità dell'incidente.