Um funcionário entregou o acesso. A Figure perdeu dados de quase 1 milhão de contas.
A empresa confirmou engenharia social a um veículo. O Have I Been Pwned contabilizou 967.200 contas. O aviso aos clientes lista até número de previdência e dados do empréstimo.
Engenharia socialA Figure Technology Solutions, fintech de crédito, confirmou à TechCrunch que atacantes levaram um número limitado de arquivos num ataque de engenharia social em que um funcionário foi induzido a entregar acesso. O Have I Been Pwned registrou 967.200 contas, com e-mails, nomes, telefones, endereços e datas de nascimento, em material datado de janeiro de 2026 e publicado em fevereiro.
O aviso enviado aos clientes, reproduzido pela procuradoria de Massachusetts, é mais específico: em 28 de janeiro de 2026 houve evidência de que dados foram obtidos por consultas a bases de empréstimo e de pedidos de empréstimo. O aviso lista nome, Social Security, endereço, telefone, e-mail, data de nascimento, número da conta e informações do empréstimo. A empresa disse não haver evidência de acesso a contas de cliente nem a fundos.
O ShinyHunters reivindicou o caso e publicou cerca de 2,5 GB. A reivindicação é do grupo. A engenharia social contra o funcionário é o que a Figure confirmou.
A base de empréstimo não foi quebrada por uma falha anunciada. Alguém com acesso legítimo foi convencido a usá-lo. O procedimento que separa quem pode consultar essa base de quem pode fazê-lo sozinho, no meio de uma ligação, é o controle que esse caso testa.
