American Lending Center (ALC), ett kaliforniskt lånebolag specialiserat på statligt garanterade småföretagslån, har drabbats av en ransomwareattack som nu påverkar över 123 000 personer.

Attacken upptäcktes den 27 juli 2025, men ALC meddelade inte berörda kunder förrän den 28 april 2026, nästan ett år senare. Anledningen till dröjsmålet är att den forensiska utredningen inte slutfördes förrän den 8 april 2026.

Vad stals?

Enligt ALC:s anmälan till delstaten Maines justitieminister fick angriparna tillgång till filer som innehöll känslig personinformation, bland annat:

• Namn
• Födelsedatum
• Personnummer (Social Security Numbers)

Totalt berörs 123 158 personer i USA, varav 120 i Maine och 942 i Massachusetts.

Ingen känd grupp har tagit på sig attacken

Ingen känd ransomwaregrupp har offentligt tagit på sig ansvaret för attacken. Det kan tyda på att ALC betalat lösen, eller att angriparna saknar en publik läckajsajt. ALC uppger att man inte känner till att den stulna informationen missbrukats, men den typen av uttalanden är standard i dataintrångsnotiser och ger ingen garanti.

Vad bör företag lära sig?

Fallet illustrerar ett vanligt mönster: ransomwareattacker mot finansbolag med stora mängder persondata. Nästan ett år gick mellan attack och kundnotis, vilket ger angripare lång tid att utnyttja stulen information.

För svenska företag som hanterar personuppgifter är det viktigt att ha tydliga rutiner för incidenthantering och att följa GDPR:s krav på att anmäla dataintrång inom 72 timmar till tillsynsmyndigheten.

BlckIT hjälper företag att bygga robusta säkerhetsrutiner och incidenthanteringsplaner. Kontakta oss för att se hur vi kan stärka er IT-säkerhet.