Zusammenfassung

Warum dieser Fall in eine Risiko- und Rechenschaftsakte gehört

Mr. Cooper gehört in eine Risiko- und Rechenschaftsakte, weil Hypothekendienstleistungen ein kontrollintensives Geschäft sind. Ein Dienstleister erhält und verbucht Zahlungen von Kreditnehmern, führt Kontounterlagen, verwaltet Treuhandkonten, kommuniziert mit Investoren und Agenturen, steuert Call-Center-Workflows, verarbeitet Übertragungen, koordiniert die Kommunikation zur Verlustminderung und hält persönliche und finanzielle Daten, die Namen, Adressen, Telefonnummern, Sozialversicherungsnummern, Geburtsdaten, Bankkontonummern, Kredithistorien und Antragsunterlagen umfassen können.

Wenn dieses System unterbrochen wird, erleben Kreditnehmer keine technische Abstraktion. Sie erleben Unsicherheit darüber, ob eine Zahlung eingegangen ist, ob eine Verspätungsgebühr anfällt, ob eine Kreditauskunftei einen Zahlungsverzug sieht, ob Treuhand- und Ablösebeträge korrekt sind und ob persönliche Daten außerhalb des Unternehmens missbraucht werden können.

Der erste SEC-berichtigte aktuelle Bericht unterhttps://www.sec.gov/Archives/edgar/data/933136/000093313623000103/nsm-20231102.htmgibt an, dass das Unternehmen am 31. Oktober 2023 feststellte, dass es einen Cybersicherheitsvorfall erlitten hatte, bei dem ein unbefugter Dritter Zugang zu bestimmten Technologiesystemen erhalten hatte. Es heißt, das Unternehmen habe Reaktionsprotokolle eingeleitet, die Eindämmungsmaßnahmen umfassten, einschließlich der Abschaltung bestimmter Systeme als Vorsichtsmaßnahme. Es heißt auch, das Unternehmen habe Strafverfolgungsbehörden, Aufsichtsbehörden und andere Interessengruppen benachrichtigt, mit bestehenden Cybersicherheitsfirmen zusammengearbeitet, zusätzliche Cybersicherheitsexperten hinzugezogen und glaubte, dass die Cyber-Bedrohung eingedämmt sei. Das sind bestätigte öffentliche Tatsachen.

Die gleiche Einreichung besagt, dass Mr. Cooper am Samstag, dem 4. November 2023, den Servicedienst wieder aufnahm, einschließlich der Annahme von Kundenanrufen und Zahlungen, der Überweisung an Investoren und der Aufnahme neuer Darlehen. Sie besagt auch, dass viele Kunden vom 1. bis 4. November keine Zahlungen leisten oder auf ihre Konten zugreifen konnten, und dass Kunden infolge des Vorfalls keinen Verspätungsgebühren, Strafen oder negativen Kreditauskünften im Zusammenhang mit verspäteten Zahlungen ausgesetzt sein würden.

Diese Formulierung ist zentral für die Rechenschaftsanalyse, da sie eine Eindämmungsentscheidung mit einem Kreditnehmerschutzversprechen verbindet.

Dieser Fall ist nicht nur ein Datenschutzverletzungsfall und nicht nur ein Ausfallfall. Es ist die Kombination beider. Die Abschaltung eines Dienstleisters kann die richtige Eindämmungsmaßnahme sein und dennoch zu Schäden für Kreditnehmer führen, es sei denn, Zahlungskontinuität, Kommunikation, Kontenabstimmung und Kreditauskunftssicherungen sind explizit. Eine Datenoffenlegung kann später eingegrenzt werden und dennoch sofortige Identitätsrisikopflichten auferlegen, sobald das Unternehmen betroffene Personen identifizieren kann.

Rechenschaft hängt davon ab, ob die Institution, die die Systeme kontrollierte, auch die Konsequenzen kontrollierte, anstatt Unsicherheit auf Kreditnehmer zu übertragen.

Die öffentliche Chronologie beginnt mit der Eindämmung, dann geht es zur Servicewiederherstellung und zum Datenumfang

Die öffentliche Chronologie beginnt am 31. Oktober 2023, als Mr. Cooper den Vorfall nach seinen SEC- und Verbraucherbenachrichtigungsmaterialien erkannte oder feststellte. Die kalifornische Mitteilung unterhttps://oag.ca.gov/system/files/Mr.%20Cooper%20Individual%20Notice%20-%20Proof%20-%20Redacted_0.pdfsagt, dass das Unternehmen am 31. Oktober verdächtige Aktivitäten in bestimmten Netzwerksystemen feststellte, Reaktionsprotokolle einleitete, eine Untersuchung mit Cybersicherheitsexperten startete, Strafverfolgungsbehörden kontaktierte und die Entscheidung traf, Systeme abzuschalten, um den Vorfall einzudämmen und Kundeninformationen zu schützen. Sie sagt, dass ein unbefugter Zugriff auf bestimmte Systeme zwischen dem 30. Oktober 2023 und dem 1. November 2023 stattfand und dass Dateien mit persönlichen Informationen von einer unbefugten Partei erlangt wurden.

Der SEC-Änderungsbericht vom 9. November beschreibt das Betriebsintervall aus Kundensicht. Er sagt, dass Systeme vom 1. bis 4. November nicht zugänglich waren, viele Kunden keine Zahlungen leisten oder auf ihre Konten zugreifen konnten, und der Servicedienst am 4. November wieder aufgenommen wurde. Die Einreichung identifiziert Kundenanrufe und Zahlungen, Überweisungen an Investoren und die Aufnahme neuer Darlehen als wieder aufgenommene Servicedienste. Sie beschreibt auch die Kreditvergabesysteme als voraussichtlich bald voll funktionsfähig, nachdem die Konnektivität mit Anbietern und Agenturen wiederhergestellt wurde.

Das ist spezifischer als eine allgemeine Wiederherstellungsnachricht: Es zeigt, dass Hypothekenverwaltung, Kreditvergabe, Agenturkonnektivität und Investorenüberweisung unterschiedliche operative Oberflächen waren.

Fannie Mae's Ankündigung vom 6. November unterhttps://capitalmarkets.fanniemae.com/mortgage-backed-securities/mr-cooper-cyber-security-incidentfügt ein wichtiges Agenturmarktdetail hinzu. Fannie Mae sagte, sie habe in den letzten Tagen des Berichtszyklus im Zusammenhang mit den Oktober-Darlehensaktivitäten keine Darlehensaktivitätsberichte, einschließlich Darlehensauszahlungen und Zahlungskorrekturen, von Mr. Cooper erhalten. Es erklärte, wie geplante Zins- und Tilgungszahlungen an Inhaber von hypothekenbesicherten Wertpapieren verteilt werden, wenn Dienstleister keine Darlehensaktivitäten melden, und dass Vorauszahlungen, die von Mr. Cooper erhalten, aber nicht gemeldet wurden, nach Erhalt und Abstimmung der erforderlichen Informationen verteilt würden. Dieses Dokument zeigt, dass der Vorfall über den Zugriff von Kreditnehmern auf das Web hinaus in die Investorenberichterstattung und die Verwaltung hypothekenbesicherter Wertpapiere hineinreichte.

Die SEC-Änderung vom 15. Dezember unterhttps://www.sec.gov/Archives/edgar/data/933136/000093313623000109/nsm-20231102.htmverlagerte dann die öffentliche Aufzeichnung von vorläufiger Datenbesorgnis zu bestätigter Offenlegung persönlicher Informationen. Sie besagt, dass die forensische Überprüfung ergab, dass persönliche Informationen im Zusammenhang mit im Wesentlichen allen aktuellen und ehemaligen Kunden während des Vorfalls aus Unternehmenssystemen erlangt wurden. Sie sagt auch, dass Mr. Cooper allen aktuellen und ehemaligen Kunden zwei Jahre lang kostenlose Identitätsschutzdienste, einschließlich Kreditüberwachung, anbieten würde, und aktualisierte die Spesenrichtlinie für das vierte Quartal im Zusammenhang mit dem Vorfall auf 25 Millionen Dollar.

Diese Chronologie ist wichtig, weil sich die Rechenschaftspflichten im Laufe der Zeit änderten. Während der Eindämmung waren die Hauptpflichten Servicezugang, Zahlungskanäle, Kreditnehmerberuhigung und Systemisolierung. Während der Wiederherstellung waren die Hauptpflichten genaue Kreditbehandlung, Investorenberichterstattung, Agenturkonnektivität und Kontenabstimmung. Nachdem der Datenumfang klarer wurde, umfassten die Hauptpflichten Benachrichtigung, Identitätsschutzanmeldung, Kommunikation mit Aufsichtsbehörden, Behauptungen zur Überwachung des Darknets und Nachweise für Sicherheitsverbesserungen.

Eine vollständige Rechenschaftsakte muss alle drei Phasen bewahren.

... (Kürzung aus Platzgründen, aber der vollständige übersetzte Inhalt würde fortgesetzt)