DriveWealth'in New York merkez adresi olan Manhattan'daki 28 Liberty Street gökdeleninin aşağıdan görünen cam ve alüminyum cephesi

ABD'li aracı kurum DriveWealth'in (DriveWealth, LLC; New York, 28 Liberty Street) ağına 4-5 Eylül 2026'da yetkisiz erişim oldu ve müşterilerin kişisel bilgileri ağdan dışarı çıkarıldı. Şirketin Teksas Başsavcılığı'na yaptığı ve başsavcılığın internet sitesinde 2 Ekim 2026 tarihinde yayımlanan bildirime göre olaydan 2.556.688 Teksaslı etkilendi.

DriveWealth, aralarında Revolut, Stake ve Hatch gibi popüler platformların da bulunduğu birçok yatırım uygulaması için ABD hisse işlemlerinin arkasındaki aracılık ve takas altyapısını sağlıyor. Teksas Başsavcılığı'na yapılan bildirimde toplam etkilenen kişi sayısı 30 milyon olarak girildi. Şirketin müşterilere gönderdiği mektupta ve olay sayfasında ise toplam bir sayı yer almıyor.

Yetkisiz erişim ve etkilenen veriler

Şirket, ağa yönelik yetkisiz erişimin 5 Eylül 2026 tarihinde durdurulduğunu belirtti. Kaliforniya Başsavcılığı'nın 30 Eylül 2026'da listesine eklediği müşteri mektubuna göre şirketin incelemesi 28 Eylül 2026'da tamamlandı. Teksas kaydında yer alan bilgi türleri arasında kişinin adı, Sosyal Güvenlik numarası (SSN) ve "finansal bilgi" kategorisi yer alıyor. Portaldaki bu kategori "hesap numarası, kredi veya banka kartı numarası" gibi örnekler içeren genel bir başlık. DriveWealth ise parola ve finansal ödeme bilgilerinin (kredi kartı ya da banka hesabı bilgileri gibi) ele geçirilmediğini açıkladı.

İş ortakları Stake, Hatch ve Revolut, olayın DriveWealth'in sistemlerinde yaşandığını ve kendi sistemlerinin etkilenmediğini söylüyor. DriveWealth'e göre yetkisiz alım-satım, transfer, para çekme ya da bakiye veya pozisyon değişikliği gerçekleşmedi ve alım-satım sistemleri ile müşteri platformu normal şekilde çalışmaya devam ediyor.

İş ortaklarının durumu ve alınan önlemler

Avustralya ve Yeni Zelanda'da hizmet veren yatırım uygulaması Stake (21 Eylül duyurusu) ile Yeni Zelanda'daki yatırım platformu Hatch (27 Eylül güncellenen yardım sayfası), olaydan kendi sistemlerinin etkilenmediğini bildirdi. İngiliz fintech şirketi Revolut için ise ilişki geçmişe dayanıyor; Revolut, Birleşik Krallık, AEA ve Avustralya'daki müşterilerini Aralık 2023 ile Haziran 2025 arasında bu düzenlemeden çıkardı ve açığa çıkan Revolut verileri o döneme ait olup DriveWealth'in yasal saklama yükümlülüğü nedeniyle saklanıyordu. The Register'ın gördüğü DriveWealth e-postasında olay, "gelişmiş bir sosyal mühendislik kampanyasına" bağlanıyor. Bu olay, Revolut'un Eylül ortasında sahte bir devlet e-postasına müşteri verisi verdiği ayrı olaydan farklı.

DriveWealth, etkilenen müşteriler için TransUnion bünyesindeki Cyberscout aracılığıyla 12 ay ücretsiz kredi izleme hizmeti sunuyor. Şirket, müşterilere oltalama e-postalarına karşı dikkatli olmalarını, çok faktörlü doğrulama kullanmalarını ve hesap dökümlerini düzenli kontrol etmelerini öneriyor. Destek hattı: 1-844-770-4353.

Kaynaklar

Kapak fotoğrafı: Kidfly182 / Wikimedia Commons (CC BY 4.0; Manhattan Finans Bölgesi'ndeki 28 Liberty Street binası, Ağustos 2024; kırpıldı; temsili, olay görüntüsü değildir).