В соответствии с американским законодательством компании обязаны уведомлять власти о кибератаках, затрагивающих не менее 500 американских граждан. В соответствии с этим требованием представители финансового гиганта HSBC направили в офис генерального прокурора Калифорнии (PDF) заявление, в котором сообщили о недавней атаке на их системы.
Документ указывает, что инцидент произошёл в период с 4 по 14 октября 2018 года. При этом точное число затронутых пользователей не раскрывается, но, по данным документа, их было «менее 1%». Учитывая, что около 1,2 миллиона человек пользуются услугами HSBC в Соединённых Штатах, речь может идти лишь о 12 000 американских пользователей, не считая клиентов из других стран, если атака затронула и их.
На данный момент учётные записи всех пострадавших уже заблокированы, а банк запустил процедуру смены их паролей. В документе также говорится, что HSBC теперь добавил определённый «дополнительный уровень защиты» для пользовательских аккаунтов, однако представители финансового учреждения не вдаются в подробности.
Судя по описанию атаки в документе, HSBC столкнулся с так называемым «credential stuffing» — подбором учётных данных. Этот термин обозначает ситуации, когда имена пользователей и пароли похищаются на одних сайтах, а затем используются для доступа к другим. Иными словами, злоумышленники располагают заранее подготовленной базой учётных данных (полученной в даркнете, собранной самостоятельно и т. д.) и пытаются с их помощью войти во все сайты и сервисы под видом своих жертв.
В результате атаки неизвестные злоумышленники получили доступ к клиентской информации HSBC. Речь идёт о полных именах, почтовых адресах, номерах телефонов, адресах электронной почты, датах рождения, номерах счетов, типах счетов, сведениях о балансе, истории транзакций, истории выписок и т. д.
Известно, что представители HSBC теперь предлагают затронутым пользователям один год бесплатного мониторинга кредитной истории и защиты от кражи личных данных.
