Uma aplicação de terceiros virou a porta de entrada para os dados de 4,4 milhões da TransUnion.
A empresa descreveu acesso não autorizado a um aplicativo usado no suporte ao consumidor nos EUA. Nome, data de nascimento e Social Security constam do protocolo no Texas. A técnica de entrada não foi nomeada no aviso.
Aplicação de terceiroA TransUnion informou que um aplicativo de terceiro, usado nas operações de suporte ao consumidor nos Estados Unidos, foi acessado sem autorização em 28 de julho de 2025. A descoberta, segundo o protocolo no Maine citado pela imprensa, ocorreu dois dias depois. A empresa disse que a base central de crédito e os relatórios de crédito não entraram no incidente.
O protocolo no Texas, segundo a TechCrunch, confirma que os dados levados incluem nomes, datas de nascimento e números de Social Security. O SecurityWeek registrou 4.461.511 pessoas notificadas ao Maine e 24 meses de monitoramento de crédito. A TransUnion não nomeou o aplicativo.
Reportagens posteriores ligaram o caso à onda de extorsão via Salesforce. Os avisos citados pela TechCrunch e pelo SecurityWeek não descrevem a técnica de entrada. Engenharia social, nesse episódio, é contexto da campanha, não uma frase da TransUnion.
O suporte guarda o dado que o cliente repetiu ao telefone. Quando esse dado mora num aplicativo de terceiro, o teste do procedimento tem de incluir quem atende e o que essa ferramenta deixa exportar depois de um acesso legítimo.
