Studier

Finansielle databrud tegnede sig for 153,3 millioner lækkede poster fra januar 2018 til juni 2022

Siden januar 2018 har finansielle virksomheder været udsat for næsten tusinde databrud, hvilket har påvirket over 153,3 millioner poster.

Vores team af forskere analyserede data fra 2018 til juni 2022 for at finde ud af den største årsag til disse brud, hvor mange registreringer der er blevet berørt hver måned og år, de mest berørte finansielle organisationer, og hvilke amerikanske stater ser de mest økonomiske brud.

Vores undersøgelse omfattede brud, der påvirkede millioner af mennesker, hvoraf nogle førte til udnyttelse af personlige økonomiske data, hvilket bragte mange ofre ud af lommen. Bankoplysninger, CPR-numre, legitimationsoplysninger/adgangskoder og skatte-id-numre er blot nogle eksempler på de typer data, som dårlige aktører stjæler fra finansielle enheder.

2021 var det værste år for finansielle databrud med en stigning på 12 procent i forhold til 2020's tal (stigende fra 233 brud til 260). Indtil videre ser 2022 ud til at være mere stille i forhold til antallet af brud, der udføres (kun 37 brud er blevet registreret indtil slutningen af juni). Imidlertid er mediantallet for berørte registreringer det højeste, det har været siden 2018, og med mange brud rapporteret flere måneder efter, at de fandt sted, er det sandsynligt, at disse tal vil stige over tid.

Nøglefund:

982 finansielle databrud fra januar 2018 til juni 2022
153.334.145 individuelle poster blev påvirket som følge af disse brud
2021 var det største år for økonomiske overtrædelser med 260 rapporterede (det næsthøjeste var 2018 med 247)
2019 var det største år for antallet af berørte poster med over 101 millioner i alt (2021 havde det næsthøjeste, men med et meget lavere tal på 23,2 millioner)
2019's enorme rekordtal stammer primært fra bruddet på Capital One, N.A., hvor 100 millioner poster (bestående af betalings- og kortoplysninger) blev stjålet fra ofre
2022 er det største år (hidtil) for det gennemsnitlige antal registreringer, der er påvirket af finansielle databrud – 3.633
Forsikringsselskaber har set flest databrud, tæt fulgt af banker og investeringsselskaber
Hacking var den mest almindelige form for brud, der stod for over 50 procent af brudene (508 ud af 982)
Ransomware-angreb er en voksende trussel for finansielle databrud, der er steget markant i de seneste år

Mens alle 50 amerikanske stater har obligatorisk indberetning af databrud , der er nogle variationer. Nogle har fx forskellige krav afhængig af antallet af berørte poster, f.eks. i Alaska, hvis mere end 1.000 mennesker skal underrettes om et brud, skal forbrugerrapporteringsbureauer også underrettes. Ligeledes har kun nogle stater offentligt tilgængelige lister over de meddelelser om databrud, de har modtaget. Derfor vil de tal, vi har fundet, sandsynligvis bare ridse overfladen af det sande omfang af finansielle databrud.

De største år for finansielle databrud

2021 var det største år for finansielle databrud med 260 i alt. 2018 registrerede også et højt antal brud med 247 rapporterede, men havde det laveste antal berørte registreringer med kun 3,5 millioner.

Hvis du skulle ekskludere de 100 millioner registreringer, der var berørt af Capital Ones databrud i 2019, er overtrådte registreringer steget år for år fra 3,5 millioner i 2018 til 18,3 millioner i 2020 og en yderligere stigning til 23,2 millioner i 2021.

Ligeledes, hvis vi ser på det gennemsnitlige antal poster, der er berørt hvert år, var der kraftige stigninger fra 2018 til 2019 (stigende med 145 procent fra 585 til 1.433) og fra 2019 til 2020 (stigning med 100 procent fra 1.433 til 2.872). Dette faldt lidt fra 2020 til 2021 (fald med 1,5 procent til 2.828), men er steget med 28 procent fra 2021 til 2022 (stigende til 3.633). Dette føjer til det faktum, at angreb ser ud til at blive mere målrettede i deres tilgang.

Hvordan ser 2022 ud for finansielle databrud?

I løbet af de første seks måneder af 2022 har der været 37 rapporterede finansielle databrud med 7.056.706 berørte poster. Selvom disse tal kan forekomme små nu, er det sandsynligt, at tallene vil stige i de kommende måneder. Ikke desto mindre på tværs af vores databrud og ransomware-rapporter, mærker vi et dyk i 2022. Det skyldes måske, at der udføres mere målrettede angreb. Vi kan se dette med ransomware-angrebet på Professional Finance Company, hvor over 650 sundhedsudbydere og et voksende antal ofre (1,9 millioner og flere) rapporteres at være blevet ramt af dette angreb.

Databrud efter typen af finansiel virksomhed

Når vi opdeler dataene efter den type finansiel virksomhed, der er påvirket af databruddet, kan vi se, hvilke typer organisationer der er målrettet mod, og hvordan dette har ændret sig fra år til år.

Bemærk venligst: en virksomhed er blevet kategoriseret baseret på dens primære service. Nogle investeringsselskaber kan for eksempel også tilbyde rådgivning om forsikringer, men er blevet kategoriseret som et investeringsselskab.

Samlet set er forsikringsselskaber de mest målrettede organisationer og tegner sig for 23 procent (223) af alle de finansielle databrud, vi har sporet siden 2018. De efterfølges af banker (170 brud) og investeringsselskaber (162 brud). Men på årsbasis er det forsikringsselskaber, der har oplevet størst vækst. Bankbaserede angreb toppede i 2020, mens investeringsangreb faldt i 2020, men steg igen i 2021.

Realkreditselskaber har også oplevet en vækst i angreb, der er steget med 33 procent (fra 15 til 20) fra 2020 til 2021. I modsætning hertil har opsparings- og låneselskaber set færre angreb på årsbasis, faldet fra 25 angreb i 2018 til 11 i 2021.

Når det kommer til registrene, der er påvirket af disse angreb, så bankerne de mest påvirkede, men de fleste af disse – 100 mio. af 104,7 mio. - var fra Capital One-bruddet. Forsikringsselskaber har også set en stor mængde poster påvirket, med næsten 20 millioner påvirket i løbet af vores rapporteringsperiode.

Hvis vi ser påmedianoptegnelser påvirket af typen af finansiel organisation, ændrer de hårdest ramte organisationer sig. Crypto (53.080) og internetbanker (3,75 mio.) har de højeste medianer, men det skyldes, at kun få virksomheder bliver angrebet i deres respektive kategorier, hvilket skævvrider medianerne her. På tværs af et større antal overtrædelser er det dog pensions-/pensionsselskaber, der ser de højeste medianrekorder berørt: 22.661.

Dette er betydeligt højere end forsikringsselskaber (med en median på 1.527), banker (med en median på 2.401) og investeringsselskaber (med en median på 1.076). Og meget højere end alle de andre kategorier, vi har dækket – regnskab og skat (1.999), mæglerfirmaer (4.365), kreditforeninger (5.671), finansielle rådgivere (357), finansiel teknologi (1.103), realkreditselskaber (1.928) ), og opsparing og lån (1.479).

De største kendte finansielle databrud fra januar 2018 til juni 2022

Ifølge vores resultater har der været 13 finansielle databrud, hvor en million eller flere registreringer er blevet påvirket. Disse er:

2019, Capital One, N.A. = 100 millioner berørte poster: En hacker fik ulovligt adgang til og opnåede 100 millioner Capital One-kreditkortbrugeres personlige og bankoplysninger på grund af en fejlkonfiguration af en firewall. Dette gjorde det muligt for den ubudne gæst at få adgang til brugerdata gemt af Capital One på Amazon Web Services.
2021, Cash App Investing, LLC = 8,2 millioner berørte poster: Kunder af Cash App fik deres personlige data kompromitteret, efter at en tidligere medarbejder downloadede interne rapporter uden tilladelse. De afslørede data inkluderede deres mæglerkontonummer såvel som deres seneste handelsaktivitet.
2020, Dave, Inc. = 7,5 millioner berørte poster: En ondsindet part fik uautoriseret adgang til Dave, Inc (en personlig økonomi-app).
2020, Infinity Insurance Company = 5,72 millioner berørte poster: Efter undersøgelse opdagede Infinity Insurance uautoriseret adgang til filer på visse firmaservere inden for deres netværk over to dage.
2021, Insurance Technologies Corporation = 4,34 millioner berørte poster: Insurance Technologies Corp. blev tvunget til at betale 11 millioner dollars i et gruppesøgsmål vedrørende databrud ved den amerikanske distriktsdomstol. Virksomheden formåede ikke at beskytte og sikre kundeoplysninger tilstrækkeligt, hvilket resulterede i, at personlige oplysninger blev udnyttet af en uautoriseret part.
2022, Elephant Insurance Services, LLC = 2,76 millioner berørte poster: Efter mistanke om usædvanlig aktivitet på deres netværk, fastslog Elephant Insurance, at forbrugeroplysninger kan være blevet set eller kopieret fra deres netværk, herunder navne, kørekortnumre og DOB'er.
2021, Lakeview Loan Servicing, LLC = 2,53 millioner berørte poster: Dette økonomiske brud vakte tumult, da Lakeview Loan Servicing undlod at underrette de berørte forbrugere i tre måneder. Klassemedlemmer har lidt selvudgifter, ligesom deres personlige oplysninger blev kompromitteret.
2022, Professional Finance Company = 1,9 millioner poster: Ramt af et ransomware-angreb i februar 2022 rapporterede inkassofirmaet, Professional Finance Company, til det amerikanske Department of Health and Human Services, at mere end 1,9 millioner patienters journaler var påvirket.
2022, Texas Department of Insurance = 1,8 millioner berørte poster: Personlige oplysninger om næsten 2 millioner texanere blev afsløret og offentligt tilgængelige i næsten tre år på grund af en fejl i koden til afdelingens webapplikation.
2021, Horizon Actuarial Services, LLC = 1,54 millioner berørte registreringer: I dette ransomware-angreb fik en hackergruppe udbetalt et ikke oplyst beløb i bytte for, at stjålne oplysninger blev slettet og ikke distribueret eller misbrugt. To computerservere blev tilgået uden tilladelse.
2021, Flagstar Bank (tredjeparts Accellion) = 1,54 millioner poster berørt: Det tog Flagstar seks måneder at erkende, at der havde været uautoriseret adgang til deres netværk, hvilket resulterede i, at 1,5 millioner kunder fik stjålet deres CPR-numre.
2018, SunTrust Banks, Inc. = 1,5 millioner poster berørt: En tidligere medarbejder stjal udskrevne kopier af kundekontaktlister inklusive navne, adresser, telefonnumre, kontosaldi og e-mails.
2020, Arthur J. Gallagher & Co. = 1,14 millioner poster berørt: Gallagher registrerede en ransomware-hændelse, der påvirker deres interne systemer. Hackere indhentede højprofilerede personlige kundedata, herunder pas, skatte-id-numre, kreditkortoplysninger, elektroniske signaturer, brugernavne og adgangskoder.

Disse højest rangerende finansielle databrud dækkede en række databrudstyper, herunder hacking, ransomware, offentliggørelse og insiderbrud. Se grafen nedenfor om, hvad der var den mest populære type databrud.

Hacking har vist sig at være den mest populære metode til databrud, og mere end halvdelen af brudene sker på denne måde (508 ud af 982 brud). Hackingangreb steg med 16 procent fra 2019 til 2020 og med over 30 procent fra 2020 til 2021.

Nogle af de største stigninger i de seneste år er kommet fra ransomware, som var kilden til 5 brud i 2018, 2 i 2019, 17 i 2020 og 26 i 2021. Disse typer brud, hvor ondsindede aktører kræver et betalt beløb i returnering for at ødelægge eller sikkert returnere stjålne data, bliver mere populære. Dette er noget, vi har bemærket i vores løbende sporing af amerikanske ransomware-angreb, hvor hackere bruger 'double-dip' afpresningstaktik. Dette involverer dårlige aktører, der krypterer systemer for at forårsage ødelæggende nedetid for organisationer, mens de også stjæler data, som de kan opbevare for at løse penge eller sælge andre steder.

I modsætning hertil ser vi et fald i fysiske brud, med nul rapporteret i 2020 og 2021. Dette afspejler flytningen af mange dokumenter til online-formater, hvilket, selvom det er praktisk, sætter disse dokumenter i højere risiko for udnyttelse via hacking – som vi kan se.

De 5 værst ramte stater for finansielle databrud og registreringer påvirket

Hvis vi tager et kig på antallet af brud i amerikansk stat, kan vi se, at Californien havde langt flest, og tegnede sig for 115 (næsten 12 procent) af de 982 databrud.

Finansielle databrud og registreringer påvirket af år og stat

Stat	Samlet antal brud	Samlet antal berørte poster	Statens befolkning	Antal berørte poster pr. 100.000 personer	Samlet antal brud	Samlet antal berørte poster	Samlet antal brud	Samlet antal berørte poster	Samlet antal brud	Samlet antal berørte poster	Samlet antal brud	Samlet antal berørte poster	Samlet antal brud	Samlet antal berørte poster
Alabama	13	5.830.381	5.039.877	115.685	4	9.429	4	71.488	3	5.733.064	to	16.400	0	0
Alaska	1	0	732.673	0	0	0	0	0	0	0	1	0	0	0
Arizona	7	203.829	7.276.316	2.801	1	0	1	825	1	0	4	203.004	0	0
Arkansas	3	503	3.025.891	17	1	0	0	0	0	0	to	503	0	0
Californien	115	8.733.256	39.237.836	22.257	16	100.272	24	170.707	29	8.025.329	40	263.840	6	173.108
Colorado	femten	2.272.681	5.812.069	39.103	3	4	to	1.867	4	28.215	5	323.654	1	1.918.941
Connecticut	18	220.729	3.605.597	6.122	4	53.865	4	45.624	1	0	8	114.232	1	7.008
Delaware	7	2.538.188	1.003.384	252.963	1	752	3	167	to	8	1	2.537.261	0	0
District of Columbia	9	156.106	670.050	23.298	1	0	4	5.671	to	14.637	to	135.798	0	0
Florida	42	866.384	21.781.128	3.978	13	16.391	8	22.967	7	694.222	14	132.804	0	0
Georgien	enogtyve	3.110.174	10.799.566	28.799	7	1.504.624	5	4.975	6	49.124	3	1.551.451	0	0
Hawaii	3	60.340	1.441.553	4.186	0	0	1	55.840	0	0	to	4.500	0	0
Idaho	1	17.438	1.900.923	917	0	0	1	17.438	0	0	0	0	0	0
Illinois	57	1.288.539	12.671.469	10.169	femten	58.156	7	11.960	16	1.194.196	18	24.227	1	0
Indiana	35	886.001	6.805.985	13.018	femten	818.357	5	9.603	6	379	8	57.540	1	122
Iowa	26	372.257	3.193.079	11.658	6	7.007	7	40.924	3	26.834	10	297.492	0	0
Kansas	8	191.639	2.934.582	6.530	0	0	1	1.639	3	19.211	4	170.789	0	0
Kentucky	7	37.446	4.509.394	830	to	1.573	1	1.527	1	1.548	to	23.216	1	9.582
Louisiana	6	329.705	4.624.047	7.130	0	0	to	42.385	1	170.426	3	116.894	0	0
Maine	3	2.914	1.372.247	212	0	0	to	2.038	0	0	1	876	0	0
Maryland	30	214.702	6.165.129	3.483	10	3.773	14	121.478	4	1.226	to	88.225	0	0
Massachusetts	41	349.793	6.984.723	5.008	14	274.959	8	8.109	5	19.733	elleve	45.039	3	1.953
Michigan	25	1.867.666	10.050.811	18.582	4	4.304	5	65.258	6	94.818	8	1.697.534	to	5.752
Minnesota	29	823.154	5.707.390	14.423	8	2.346	5	93.960	8	28.081	7	698.592	1	175
Mississippi	3	21.764	2.949.965	738	1	7.690	1	0	1	14.074	0	0	0	0
Missouri	16	503.865	6.168.187	8.169	4	819	6	11.298	0	0	6	491.748	0	0
Montana	4	1.910	1.104.271	173	to	489	0	0	1	1.311	0	0	1	110
Nebraska	elleve	60.318	1.963.692	3.072	6	12.241	3	41.401	0	0	1	3.531	1	3.145
Nevada	1	0	3.143.991	0	0	0	0	0	1	0	0	0	0	0
New Hampshire	9	7.517	1.388.992	541	3	298	1	1	1	168	4	7.050	0	0
New Jersey	33	304.124	9.267.130	3.282	9	4.244	7	8.269	9	27.533	8	264.078	0	0
Ny mexico	5	242.573	2.115.877	11.464	0	0	0	0	to	0	to	12.825	1	229.748
New York	80	916.599	19.835.913	4.621	enogtyve	88.364	femten	123.973	enogtyve	262.105	enogtyve	381.850	to	60.307
North Carolina	18	320.154	10.551.162	3.034	4	105.990	3	2.378	6	21.658	4	190.128	1	0
North Dakota	3	6.955	774.948	897	0	0	0	0	1	0	1	6.955	1	0
Ohio	29	235.817	11.780.017	2.002	5	106.256	8	23.750	9	10.640	6	91.050	1	4.121
Oklahoma	8	240.594	3.986.639	6.035	1	7.013	0	0	7	233.581	0	0	0	0
Oregon	7	8.207.909	4.246.155	193.302	to	1.090	to	3.991	1	0	to	8.202.828	0	0
Pennsylvania	48	275.387	12.964.056	2.124	elleve	23.356	8	15.048	femten	88.615	12	116.249	to	32.119
Rhode Island	to	547	1.095.610	halvtreds	1	262	1	285	0	0	0	0	0	0
South Carolina	4	58.377	5.190.705	1.125	0	0	0	0	to	11.424	1	28.201	1	18.752
South Dakota	7	39.824	895.376	4.448	0	0	to	1	4	39.823	0	0	1	0
Tennessee	femten	56.080	6.975.218	804	5	4.605	1	1.513	3	12.366	4	37.313	to	283
Texas	63	7.594.826	29.527.941	25.721	18	223.320	elleve	50.370	18	1.053.993	13	4.438.350	3	1.828.793
Utah	13	306.618	3.337.975	9.186	7	2.963	3	23.544	1	220.245	to	59.866	0	0
Vermont	4	5.596	645.570	867	to	0	to	5.596	0	0	0	0	0	0
Virginia	38	103.128.306	8.642.274	1.193.301	10	2.637	9	100.199.323	10	146.493	6	17.166	3	2.762.687
Washington	femten	36.275	7.738.692	469	to	2.560	5	8.341	4	8.310	4	17.064	0	0
West Virginia	1	5.114	1.782.959	287	0	0	0	0	1	5.114	0	0	0	0
Wisconsin	tyve	374.821	5.895.908	6.357	8	28.691	to	223	6	23.302	4	322.605	0	0
Wyoming	3	8.450	578.803	1.460	0	0	1	8.450	1	0	1	0	0	0

New York (80), Texas (63), Illinois (57) og Pennsylvania (48) er de andre fire værst ramte stater. Men da alle disse er blandt nogle af de mest folkerige stater i USA, er dette måske ikke meget af en overraskelse.

Når det kommer til antallet af berørte poster, ændrer billedet sig noget.

Virginia kommer ud i toppen for antallet af berørte poster og udgør næsten 65 procent af de berørte poster i alle stater (103 millioner ud af 151,7 millioner poster). De fleste af disse kommer dog fra det førnævnte Capital One-databrud. Da hovedkontoret ligger i Virginia, er optegnelserne tildelt denne stat, men indbyggere fra hele USA vil være blevet berørt.

Ikke desto mindre, selvom vi ser bort fra Capital One-bruddet, vil Virginia stadig være på 5. pladsen for rekorder, der er påvirket, fordi yderligere 3.128.306 er påvirket i staten.

Californien registrerer det næsthøjeste antal berørte rekorder med 8,7 millioner brudte rekorder, tæt fulgt af Oregon (8,2 millioner), Texas (7,6 millioner) og Alabama (5,8 millioner).

Georgia, Delaware, Colorado, Michigan og Illinois registrerede også brud på mere end 1 million poster.

Det siger sig selv, at Virginia topper hitlisterne igen for antallet af berørte rekorder pr. 100.000 mennesker. Men når vi ser på de resterende topstater, begyndte vi at se, hvilke stater der kan have været mest påvirket af finansielle databrud.

Delaware registrerer det næsthøjeste antal brudte rekorder pr. 100.000 mennesker med 252.963 poster. Dette blev tæt fulgt af Oregon (193.302 berørte poster pr. 100.000 mennesker) og Alabama (115.685 berørte poster pr. 100.000 mennesker).

Disse fire stater var de eneste, der havde mere end 100.000 berørte poster for hver 100.000 mennesker i befolkningen. For eksempel var den næsthøjeste Colorado med 39.103 berørte poster pr. 100.000 mennesker, hvilket viser, hvor mange finansielle poster disse stater tabte i sammenligning.

Metodik

For at få et godt overblik over finansielle databrud, der har fundet sted i løbet af de sidste 4,5 år, søgte vores team gennem industriressourcer, statslige databrudsnotifikationsværktøjer og nyhedskilder for at samle en omfattende liste over databrud, der går tilbage til 2018 .

Hvor det er muligt, henføres bruddet til det år og den måned, hvor det er sket. For eksempel kan et brud være sket i 2020, men det kan først være blevet afsløret i 2021. Vi vil derfor allokere dette til 2020’s tal, da det er her bruddet skete.

Hvert brud blev tildelt en brudtype, hvor det var muligt, ganske ofte blev der ikke afsløret nok information om databruddet, og der blev bruddet tildelt til at være ukendt.

Sygeforsikringsselskaber er ikke inkluderet i denne rapport, da vi kategoriserer disse under sundhed organisationer i vores andre rapporter.

Dataforsker:Charlotte Bond