Hack na Upbound gera US$ 13 milhões em contratos de leasing fraudulentos na Acima
A Upbound Group, controladora da fintech de leasing Acima, confirmou que dados de clientes obtidos em uma invasão foram usados por criminosos para fechar contratos fraudulentos de arrendamento mercantil, gerando prejuízo de US$ 13 milhões só no segundo trimestre. O caso mostra como vazamentos de dados classificados como "não sensíveis" ainda servem de matéria-prima para fraude de identidade em produtos de crédito ao consumidor.
A Upbound Group divulgou à SEC que sofreu um incidente de segurança no qual informações de clientes foram acessadas sem autorização. Posteriormente, os mesmos dados foram usados para completar contratos fraudulentos no programa de leasing-to-own da Acima, resultando em cerca de US$ 13 milhões em mercadoria retirada sem que os pagamentos fossem efetuados.
O mecanismo por trás do golpe é relativamente simples: dados pessoais vazados (nome, endereço, histórico de relacionamento) bastam para que um fraudador se passe por um cliente legítimo e complete o processo de aprovação de crédito do leasing-to-own, um produto voltado a público subprime que tradicionalmente tem verificação de identidade mais leve do que empréstimos bancários tradicionais. Essa fricção reduzida na abertura de contrato é exatamente o que torna o produto atraente tanto para consumidores de baixa renda quanto, agora, para criminosos.
O padrão de ataque também explora o intervalo de tempo entre a aprovação do contrato e a detecção da fraude: como o modelo de negócio permite retirada imediata do bem financiado (eletrônicos, móveis, eletrodomésticos), os fraudadores conseguem escoar a mercadoria antes que qualquer sinal de inadimplência dispare uma investigação.
Diante do caso, a Upbound reforçou controles de autenticação, adicionou mecanismos de detecção de fraude e ampliou o monitoramento, além de acionar autoridades federais. Para empresas de crédito e leasing, a lição prática é tratar toda abertura de contrato como ponto de alto risco: cruzar dados do solicitante com bases de fraude e vazamentos conhecidos, aplicar verificação de documento com prova de vida (liveness) e usar device fingerprinting para identificar automações e reuso de identidade em múltiplas solicitações. Para o consumidor cujo dado vazou, o recomendável é monitorar relatórios de crédito e alertas de abertura de novas contas em seu nome.