Wat zegt het datalek bij 700Credit over de risico's voor financiële datasystemen en de toeleveringsketen, en welke lessen kunnen we hieruit trekken?

Door Kate O'Flaherty

In december heeft 700Credit, een aanbieder van diensten voor kredietrapportage en identiteitsverificatie, toegegeven Het bedrijf had te maken met een datalek waarbij 5.8 miljoen klanten werden getroffen.

De incident Het betrof een gecompromitteerde API van een derde partij die gekoppeld was aan de 700Credit-webapplicatie. De inbreuk werd ontdekt in oktober 2025, maar aanvallers kregen al in juli toegang tot de API, waardoor ze gevoelige gegevens zoals namen, geboortedata en burgerservicenummers konden stelen zonder dat dit werd opgemerkt.

Het was een gebrek aan zichtbaarheid en governance van de toeleveringsketen Dat is iets waar alle bedrijven zich bewust van zouden moeten zijn. Wat laat het datalek bij 700Credit zien over de risico's in financiële datasystemen en de toeleveringsketen, en welke lessen kunnen we hieruit trekken?

Toepassingsgericht

Fintechbedrijven, kredietverstrekkers, dealers en kredietbureaus zijn allemaal afhankelijk van enorme integratienetwerken, vaak met API's die directe toegang bieden tot gevoelige gegevens. Wanneer één knooppunt in het netwerk uitvalt, ondervindt iedereen die verderop in het netwerk is aangesloten daar de gevolgen van.

Het datalek bij 700Credit is een treffend voorbeeld van hoe deze kwetsbaarheid in de praktijk werkt. Doordat aanvallers via API's toegang kregen tot klantgegevens, laat het incident bij 700Credit zien "hoe onderling verbonden het financiële ecosysteem is geworden", aldus Dan Kitchen, CEO van Razorblue.

Hoewel het interne netwerk van het bedrijf niet was gecompromitteerd, konden aanvallers toch toegang krijgen tot grote hoeveelheden gevoelige financiële identiteitsgegevens en deze stelen via een vertrouwde integratie op de applicatielaag. "Dit laat zien dat in de hedendaagse financiële ecosystemen API's en webapplicaties feitelijk het systeem vormen, en dat een inbreuk op dit niveau net zo schadelijk kan zijn als een inbraak in het kernnetwerk", aldus Mark Johnson, hoofd presales security bij ANS.

Grote integratienetwerken concentreren risico's door waardevolle toegangspaden tot data te creëren die traditionele controles omzeilen, aldus Johnson. "API's die ontworpen zijn voor efficiëntie en schaalbaarheid kunnen 'rechtstreekse' toegangspoorten worden tot gevoelige, persoonsgegevens als ze te veel bevoegdheden hebben, onvoldoende worden gecontroleerd of onvoldoende gesegmenteerd zijn."

In het geval van 700Credit bleken de governance-structuren geen gelijke tred te houden met de complexiteit van het ecosysteem. De lange tijd dat de aanvallers van 700Credit actief bleven, wijst erop dat de governance-mechanismen "niet zijn geëvolueerd om aan te sluiten bij de operationele complexiteit van API-gestuurde ecosystemen", aldus Johnson.

Het datalek bij 700Credit onderstreept een cruciaal punt: 96% van de API-aanvallen De gegevens zijn afkomstig van geauthenticeerde bronnen, wat betekent dat aanvallers niet inbreken. Ze gebruiken in plaats daarvan "legitieme, vertrouwde inloggegevens", voegt Eric Schwake, directeur cybersecuritystrategie bij Salt Security, eraan toe.

Omdat de meeste organisaties hun API-inventaris met 90% onderschatten, kunnen deze kwetsbaarheden in de toeleveringsketen leiden tot wel tien keer zoveel gelekte gegevens als bij traditionele datalekken, waarschuwt hij.

Ondoorzichtige financiële toeleveringsketens

Het incident met 700Credit is slechts één voorbeeld van hoe het financiële datasysteem te complex, onderling verbonden en ondoorzichtig is geworden voor het niveau van governance dat erop wordt toegepast. De meeste organisaties hebben geen duidelijk overzicht van waar hun data naartoe stroomt, hoe deze wordt geraadpleegd, welke partners er toegang toe hebben, hoe ze de data beveiligen en hoe snel ze incidenten melden.

Volgens Razorblue's Kitchen hebben bedrijven "zelden zicht op wat verder reikt dan hun directe leveranciers, laat staan ​​op de leveranciers die hun leveranciers gebruiken".

De complexiteit van deze ketens heeft de traditionele bestuursstructuren inmiddels overtroffen, waardoor organisaties kwetsbaar zijn voor fouten van derden en zelfs vierde partijen, zoals een kredietbureau dat een API gebruikt die afhankelijk is van een cloudprovider of een dataverrijkingsdienst met eigen kwetsbaarheden, zegt hij.

Een van de grootste zwakke punten in het beheer van toeleveringsketens met derden is het gebrek aan volledig inzicht in en controle over de beveiligingsstatus van leveranciers, beaamt Tracey Hannan-Jones, directeur informatiebeveiligingsconsultancy bij UBDS Digital. "Veel organisaties zijn voor essentiële diensten afhankelijk van externe leveranciers, maar voeren vaak geen grondige, doorlopende risicoanalyses uit of handhaven geen gestandaardiseerde beveiligingsmaatregelen in de hele toeleveringsketen. Dit creëert blinde vlekken waar kwetsbaarheden veel te gemakkelijk kunnen ontstaan ​​en worden misbruikt."

Een andere belangrijke zwakte is het ontbreken van robuuste contractuele en technische eisen voor externe dienstverleners, aldus Hannan-Jones. "Organisaties missen vaak duidelijke, afdwingbare overeenkomsten die beveiligingsnormen, incidentresponsprotocollen en regelmatige audits voorschrijven. Zelfs wanneer dergelijke eisen wel bestaan, kunnen de handhaving en monitoring inconsistent zijn, vooral naarmate het aantal leveranciers toeneemt."

Daarbij komt nog dat cybersecurityteams doorgaans onvoldoende tijd of expertise besteden aan risico's van derden. Dit gebied wordt vaak gezien als "vervelend en repetitief", aldus Pierre Noel, field CISO bij Expel. "Het is extreem moeilijk om ervaren cybersecurityspecialisten te werven en hen ervan te overtuigen om wekelijks, maandelijks of jaarlijks een risicobeoordeling van derden uit te voeren."

Bedrijven houden er vaak geen rekening mee dat risico's van derden zich ontwikkelen, benadrukt Noel. "De relatie die je hebt met 'bedrijf A' kan klein beginnen en een jaar of twee later aanzienlijk veranderen. Tenzij je programma rekening houdt met deze dynamische groei, kan een belangrijke en risicovolle derde partij onopgemerkt blijven totdat het te laat is."

Regelgevende reactie

Het incident met 700Credit heeft aanzienlijke gevolgen gehad. regelgevende impactHet bedrijf stuurde inbreukmeldingen naar meerdere kantoren van procureurs-generaal van verschillende staten, waaronder Maine. Het bedrijf diende in samenwerking met de National Automobile Dealers Association een geconsolideerd rapport in bij de Federal Trade Commission en het incident werd ook gemeld aan de FBI.

De vereiste reactie van de regelgevende instanties na dit soort incidenten laat zien dat wetgevers het falen van derden steeds vaker als een systemisch risico beschouwen. Over het algemeen moeten bedrijven "niet al te optimistisch zijn over de reactie van de toezichthouders op dit soort problemen", aldus Noel van Expel. Ze zullen doorgaans adviseren: "Zorg ervoor dat u een adequaat proces voor het beheer van derden hebt en wees bereid dit bij elke interne of externe audit aan te tonen", zegt hij.

De toezichthouder zal echter waarschijnlijk geen proces opleggen dat geschikt is voor een groot aantal externe partijen, of verder gaan dan alleen ervoor zorgen dat de organisatie het ISO- of SOC 2-certificaat van de aannemer verkrijgt, aldus Noel. "Daarom zouden bedrijven de discrepantie moeten erkennen en de eerste stap moeten zetten om een ​​risicomanagementprogramma te implementeren dat verder gaat dan deze fundamentele compliance-vereisten."

De Wet op de veerkracht van digitale operaties De DORA-wetgeving, die in de EU van kracht is geworden, pakt de risico's in de toeleveringsketen direct aan door strenge eisen te stellen aan financiële instellingen en hun cruciale IT-partners in de toeleveringsketen, aldus Hannan-Jones van UBDS Digital.DORA-mandaten Dat organisaties uitgebreide risicobeheerskaders implementeren voor relaties met derden, inclusief due diligence, contractuele bepalingen die de gegevensbeveiliging waarborgen, continue monitoring en de mogelijkheid om contracten te beëindigen als leveranciers niet voldoen aan de normen voor betrouwbaarheid. Regelmatige tests, incidentrapportage en duidelijke verantwoordelijkheid voor uitbestede functies zijn eveneens vereist.”

Bestuursstructuren

Doordat aanvallers via een API toegang konden krijgen tot gegevens, heeft het datalek bij 700Credit aangetoond dat de governance-structuren in veel gevallen niet zijn meegegroeid met de complexiteit van het ecosysteem. Jaarlijkse vragenlijsten voor leveranciers en verouderde due-diligence-processen werken simpelweg niet meer wanneer aanvallers ongemerkt miljoenen gegevens via een API kunnen bemachtigen.

Om dit soort inbreuken te voorkomen, moet het bestuur continue monitoring, transparantie in de toeleveringsketen, het in kaart brengen van verplichtingen en ISO-gealigneerd bestuur omvatten, zoals: ISO 27001 en ISO 27701 .

Maar dit zijn niet zomaar afvinkvakjes. Bedrijven moeten "verder gaan dan statische naleving" en "continu toezicht omarmen", aldus Kitchen van Razorblue. Dat betekent "API-verkeer in realtime monitoren, niet alleen tijdens jaarlijkse audits".

Tegelijkertijd zouden bedrijven transparantie van hun leveranciers moeten eisen, waarbij de verplichtingen in kaart worden gebracht en inzicht wordt verkregen in wie er nog meer in de keten betrokken is, adviseert hij.

Diane Downie, senior softwarearchitect bij Black Duck, adviseert organisaties om een ​​zero-trust beveiligingsstrategie te hanteren, met name voor toegangspunten tot gevoelige informatie. "Risicobeoordelingen van systeemarchitecturen moeten rekening houden met maatregelen om de gevolgen van een gecompromitteerd systeem te beperken, inclusief die van vertrouwde partners."

Financiële organisaties kunnen niet langer vertrouwen op op vertrouwen gebaseerde leveranciersrelaties of trage openbaarmakingsprocessen. Ze moeten fundamenteel transparanter zijn en een op standaarden gebaseerde aanpak hanteren voor het beheer van hun data-ecosysteem.

De voordelen van deze aanpak zijn duidelijk. De werkelijke kosten van overtredingen gaan veel verder dan wettelijke sancties en creëren een aanzienlijk risico op operationele verlamming en reputatieschade, aldus Kitchen. "Op macro-niveau kunnen dergelijke incidenten leiden tot scherpe koersdalingen, het beleggersvertrouwen ondermijnen en nervositeit op de markten veroorzaken – met name voor beursgenoteerde bedrijven in gevoelige sectoren zoals de financiële sector."