ملخص

لماذا تنتمي هذه القضية إلى ملف المخاطر والمساءلة

تنتمي Mr. Cooper إلى ملف المخاطر والمساءلة لأن خدمة الرهن العقاري هي عمل يتطلب سيطرة كبيرة. يتلقى مزود الخدمة ويسجل مدفوعات المقترضين، ويحتفظ بسجلات الحسابات، ويدير إدارة الضمان، ويتواصل مع المستثمرين والوكالات، ويدير سير عمل مراكز الاتصال، ويعالج التحويلات، وينسق اتصالات تخفيف الخسائر، ويحتفظ ببيانات شخصية ومالية يمكن أن تشمل الأسماء والعناوين وأرقام الهواتف وأرقام الضمان الاجتماعي وتواريخ الميلاد وأرقام الحسابات المصرفية وتاريخ القروض وسجلات الطلبات. عند انقطاع هذا النظام، لا يواجه المقترضون تجريدًا تقنيًا.

إنهم يواجهون عدم اليقين بشأن ما إذا كان قد تم استلام الدفع، وما إذا كانت رسوم التأخير ستظهر، وما إذا كانت وكالة الائتمان سترى تأخرًا، وما إذا كانت معلومات الضمان والتسوية لا تزال دقيقة، وما إذا كان يمكن إساءة استخدام البيانات الشخصية خارج الشركة.

ينص أول تقرير حالي معدل لهيئة الأوراق المالية والبورصات في SEC source على أنه في 31 أكتوبر 2023، قررت الشركة أنها تعرضت لحادث إلكتروني حيث حصل طرف ثالث غير مصرح له على الوصول إلى أنظمة تكنولوجية معينة. ويقول إن الشركة بدأت بروتوكولات الاستجابة التي تضمنت إجراءات احتواء تضمنت إغلاق أنظمة معينة كإجراء احترازي. ويقول أيضًا إن الشركة أبلغت سلطات إنفاذ القانون والسلطات التنظيمية وأصحاب المصلحة الآخرين، وعملت مع شركات الأمن السيبراني الحالية، واحتفظت بخبراء إضافيين في الأمن السيبراني، واعتقدت أن التهديد الإلكتروني قد تم احتواؤه. هذه حقائق عامة مؤكدة.

نفس الإيداع يقول إن Mr. Cooper استأنفت عمليات الخدمة يوم السبت 4 نوفمبر 2023، بما في ذلك تلقي مكالمات العملاء والمدفوعات، وتحويل الأموال إلى المستثمرين، وإدراج القروض الجديدة. ويقول أيضًا إنه نظرًا لعدم إمكانية الوصول إلى الأنظمة من 1 إلى 4 نوفمبر، لم يتمكن العديد من العملاء من سداد المدفوعات أو الوصول إلى حساباتهم، وأن العملاء لن يخضعوا لرسوم تأخير أو غرامات أو تقارير ائتمانية سلبية تتعلق بالمدفوعات المتأخرة نتيجة للحادث. هذه اللغة أساسية لتحليل المساءلة لأنها تربط قرار الاحتواء بوعد حماية المقترض.

هذه القضية ليست مجرد قضية خرق بيانات وليست مجرد قضية انقطاع. إنها مزيج من الاثنين. يمكن أن يكون إغلاق مزود الخدمة إجراء الاحتواء الصحيح وما زال يسبب ضررًا للمقترض ما لم تكن استمرارية الدفع والتواصل وتسوية السجلات وضمانات الإبلاغ الائتماني واضحة. يمكن تحديد نطاق كشف البيانات لاحقًا وما زال يفرض واجبات فورية لمخاطر الهوية بمجرد أن تتمكن الشركة من تحديد الأشخاص المتضررين. تعتمد المساءلة على ما إذا كانت المؤسسة التي تتحكم في الأنظمة تتحكم أيضًا في العواقب بدلاً من نقل عدم اليقين إلى المقترضين.

يبدأ الجدول الزمني العام بالاحتواء، ثم ينتقل إلى استعادة الخدمة ونطاق البيانات

يبدأ الجدول الزمني العام في 31 أكتوبر 2023، عندما اكتشفت Mr. Cooper الحادث أو قررته، وفقًا لإيداعات هيئة الأوراق المالية والبورصات ومواد إخطار المستهلك. يقول إخطار كاليفورنيا في source: oag.ca.gov إن الشركة اكتشفت نشاطًا مشبوهًا في أنظمة شبكة معينة في 31 أكتوبر، وبدأت بروتوكولات الاستجابة، وأطلقت تحقيقًا مع خبراء الأمن السيبراني، واتصلت بسلطات إنفاذ القانون، واتخذت قرارًا بإغلاق الأنظمة لاحتواء الحادث وحماية معلومات العملاء. ويقول إن الوصول غير المصرح به إلى أنظمة معينة حدث بين 30 أكتوبر 2023 و1 نوفمبر 2023، وأن الملفات التي تحتوي على معلومات شخصية تم الحصول عليها من قبل طرف غير مصرح له.

يصف إيداع هيئة الأوراق المالية والبورصات المعدل في 9 نوفمبر الفاصل الزمني التشغيلي من منظور العميل. ويقول إن الأنظمة لم تكن قابلة للوصول من 1 نوفمبر إلى 4 نوفمبر، ولم يتمكن العديد من العملاء من سداد المدفوعات أو الوصول إلى حساباتهم، واستؤنفت عمليات الخدمة في 4 نوفمبر. يحدد الإيداع مكالمات العملاء والمدفوعات وتحويل الأموال إلى المستثمرين وإدراج القروض الجديدة كعمليات خدمة مستأنفة. ويصف أيضًا أنظمة الإصدار بأنها من المتوقع أن تصبح تعمل بكامل طاقتها بعد فترة وجيزة من إعادة الاتصال بالبائعين والوكالات.

هذا أكثر تحديدًا من رسالة الاسترداد العامة: إنه يظهر أن خدمة الرهن العقاري والإصدار والاتصال بالوكالات وتحويل الأموال إلى المستثمرين كانت أسطحًا تشغيلية متميزة.

يضيف إعلان فاني ماي في 6 نوفمبر في source: capitalmarkets.fanniemae.com تفاصيل مهمة عن سوق الوكالة. قالت فاني ماي إنها لم تتلق تقارير عن نشاط القروض، بما في ذلك تسديد القروض وتصحيحات الدفع، من Mr. Cooper خلال الأيام القليلة الماضية من دورة الإبلاغ المتعلقة بنشاط قروض أكتوبر. وأوضحت كيف سيتم توزيع أصل الدين والفائدة المجدولة لحاملي شهادات الرهن العقاري عندما لا يبلغ مزودو الخدمة عن نشاط القروض، وأن المدفوعات المسبقة التي تلقتها Mr. Cooper ولكن لم يتم الإبلاغ عنها سيتم توزيعها بعد استلام وتسوية المعلومات المطلوبة. تظهر هذه الوثيقة أن الحادث تجاوز وصول المقترض عبر الإنترنت إلى تقارير المستثمرين وإدارة الأوراق المالية المدعومة بالرهن العقاري.

ثم غير تعديل هيئة الأوراق المالية والبورصات في 15 ديسمبر في SEC source السجل العام من القلق الأولي بشأن البيانات إلى تأكيد كشف المعلومات الشخصية. ويقول إن المراجعة الجنائية قررت أن المعلومات الشخصية المتعلقة بجميع العملاء الحاليين والسابقين تقريبًا تم الحصول عليها من أنظمة الشركة أثناء الحادث. ويقول أيضًا إن Mr. Cooper ستعرض خدمات حماية الهوية المجانية، بما في ذلك مراقبة الائتمان، لجميع العملاء الحاليين والسابقين لمدة عامين، وحدثت توجيهات نفقات البائعين في الربع الرابع المتعلقة بالحادث إلى 25 مليون دولار.

هذا التسلسل الزمني مهم لأن واجبات المساءلة تغيرت بمرور الوقت. أثناء الاحتواء، كانت الواجبات الرئيسية هي الوصول إلى الخدمة وقنوات الدفع وطمأنة المقترض وعزل النظام. أثناء الاستعادة، كانت الواجبات الرئيسية هي المعالجة الدقيقة للائتمان وتقارير المستثمرين والاتصال بالوكالات وتسوية السجلات. بعد أن أصبح نطاق البيانات أكثر وضوحًا، تضمنت الواجبات الرئيسية الإخطار والتسجيل في حماية الهوية والتواصل مع الجهات التنظيمية وادعاءات مراقبة الويب المظلم وأدلة التحسينات الأمنية. يجب أن يحافظ ملف المساءلة الكامل على جميع المراحل الثلاث.

كان الإغلاق إجراءً أمنيًا، لكن استمرارية مدفوعات المقترض كانت الاختبار العام

يمكن أن يكون إغلاق الأنظمة خطوة احتواء مسؤولة. الخطر هو أنه في بيئة الرهن العقاري، يمكن أن يتعارض عدم توفر الأنظمة مع مواعيد الدفع وتوقعات الدفع التلقائي ونشاط الضمان وتوقيت التسوية وإدراج القروض وحجم دعم العملاء. الشركة هي التي تسيطر على قرار الإغلاق؛ المقترضون لا يسيطرون على البوابة ولا على دفتر الخدمة. هذا هو عدم التماثل الذي يجعل هذا اختبارًا لمساءلة بيانات العملاء بدلاً من حدث تكنولوجيا معلومات ضيق.

لغة حماية المقترض في إيداع هيئة الأوراق المالية والبورصات مهمة بشكل غير عادي. إنها تقول إن العملاء لن يخضعوا لرسوم تأخير أو غرامات أو تقارير ائتمانية سلبية تتعلق بالمدفوعات المتأخرة نتيجة للحادث. يكرر إصدار إدارة التجارة وحماية المستهلك في هاواي في source: cca.hawaii.gov نفس إطار الحماية ويضيف أن Mr. Cooper استأنفت العمليات الطبيعية في 4 نوفمبر 2023، وعالجت بنجاح جميع المدفوعات المستلمة منذ 31 أكتوبر 2023. هذه الصفحة العامة للجهة التنظيمية الحكومية مهمة لأنها ليست فقط إيداع مستثمر؛ إنها اتصال حماية المستهلك.

قواعد خدمة الرهن العقاري تجعل هذا أكثر من مجرد تفضيل لخدمة العملاء. تصف موارد CFPB في source: consumerfinance.gov والصفحة الموجهة للمستهلك في source: consumerfinance.gov التزامات خدمة الرهن العقاري فيما يتعلق بتواصل المقترض وأخطاء الدفع والإبلاغ الائتماني وخدمة الحسابات. متطلبات الاحتفاظ بالسجلات بموجب اللائحة X في source: consumerfinance.gov تعزز أهمية السجلات التي توثق الإجراءات المتخذة فيما يتعلق بحساب الرهن العقاري للمقترض. هذه المواد ليست نتائج خاصة بالقضية ضد Mr. Cooper. إنها تشرح لماذا تعتبر استمرارية الدفع وأدلة السجل مركزية في أي انقطاع لخدمة الرهن العقاري.

الاستنتاج المدعوم هو أن المقترضين كانوا بحاجة إلى أكثر من مجرد وعد بحماية الرسوم والإبلاغ الائتماني. كانوا بحاجة إلى قنوات دفع مرئية، وتأكيد على أن الدفع التلقائي والمدفوعات لمرة واحدة سيتم إيداعها بشكل صحيح، وضمان بأن سجلات الضمان والتسوية ستتم تسويتها، وتوجيهات حول ما يجب فعله إذا تم بدء الدفع خلال فترة عدم الوصول. السجل العام يؤكد الحماية عالية المستوى ولغة المعالجة، لكنه لا يكشف عن كل اتصال بالعملاء، أو حل بديل لقناة الدفع، أو برنامج نصي لمركز الاتصال، أو تقرير استثناء، أو تحكم في قمع مكتب الائتمان.

يجب ألا يتم ملء هذه الفجوة بالتخمين. يجب تسميتها كفئة أدلة. ربما كان لدى الشركة إجراءات مفصلة لم تكن علنية. معيار المساءلة هو أن هذه الإجراءات يجب أن تكون موجودة، وقابلة للتدقيق، وقوية بما يكفي لإظهار أن المقترضين لم يتحملوا عواقب إجراء احتواء لم يختاروه.