De cyberaanval op de banksoftwareleverancier Marquis Software heeft geleid tot een datalek waarbij de gegevens van 672.075 personen zijn blootgesteld, zo blijkt uit recente meldingen aan toezichthouders. Marquis Software levert software waarmee financiële instellingen communiceren met hun klanten. In november waarschuwde het bedrijf al dat minstens 74 banken, kredietverenigingen en financiële instellingen getroffen waren door een datalek dat in augustus plaatsvond, maar toen werd het aantal betrokken personen niet bekendgemaakt.

Volgens brieven aan de slachtoffers ontdekte Marquis Software de inbreuk op 14 augustus en meldde dit direct bij de opsporingsdiensten. Vervolgens werden cybersecurityspecialisten ingeschakeld om het incident te onderzoeken en te herstellen. Uit het onderzoek bleek dat de aanvallers bestanden van de systemen van Marquis Software hebben gekopieerd. De gelekte gegevens omvatten onder andere namen, adressen, telefoonnummers, burgerservicenummers, belastingidentificatienummers, geboortedata en financiële rekeninginformatie.

Marquis Software heeft meldingen ingediend bij toezichthouders in verschillende staten, waaronder Maine, South Carolina, Washington en Iowa, maar maakte het totale aantal getroffen personen niet bekend. Daarnaast stuurde het bedrijf ook meldingen namens diverse financiële instellingen. Een anonieme bron binnen een getroffen organisatie gaf aan dat Marquis Software klantrelatiebeheer biedt waarmee bankmedewerkers klantgegevens en accountinformatie kunnen bijhouden om gerichte financiële producten aan te bieden. Banken voeren doorgaans burgerservicenummers, rekeningnummers, adressen, saldi en meer in het platform in. Ook wordt vastgelegd welke medewerkers contact hadden met klanten, wat er besproken is en wanneer vervolgacties gepland staan.

De bron meldde dat de bank waar hij werkt ook door het datalek werd getroffen en eigen meldingen verstuurde, maar niet voorkwam in de lijst van 74 getroffen instellingen die vorig jaar werd gepubliceerd. Door gegevens uit verschillende staatsdatabanken te combineren, schatten advocatenkantoren en cybersecurityonderzoekers dat het aantal slachtoffers waarschijnlijk tussen de 788.000 en 1,35 miljoen ligt. Diverse banken benadrukken in hun eigen verklaringen dat de aanvallers nooit hun eigen systemen hebben gehackt, maar uitsluitend informatie hebben gestolen die bij Marquis Software werd beheerd.

Cybersecuritybedrijf Comparitech verkreeg een inmiddels verwijderde melding van Community 1st Credit Union uit Iowa, waarin stond dat Marquis Software mogelijk losgeld heeft betaald aan de aanvallers. Marquis Software reageerde niet op verzoeken om commentaar over een eventuele betaling of over financiële instellingen die mogelijk getroffen zijn maar niet in de lijst van 74 voorkomen. Geen enkele ransomwaregroep heeft publiekelijk de verantwoordelijkheid voor de aanval opgeëist.