Podle americké legislativy jsou společnosti povinny informovat úřady o kybernetických útocích, které se týkají alespoň 500 amerických občanů. V souladu s tímto pravidlem zaslali zástupci finančního giganta HSBC kanceláři generálního prokurátora Kalifornie (PDF) prohlášení, v němž informovali o nedávném útoku na své systémy.
Dokument uvádí, že k incidentu došlo mezi 4. a 14. říjnem 2018. Přesný počet postižených uživatelů zveřejněn není, mělo se však jednat o „méně než 1 %“. Vzhledem k tomu, že služby HSBC ve Spojených státech využívá zhruba 1,2 milionu lidí, může jít nanejvýš o 12 000 amerických uživatelů, a to nepočítáme klienty z dalších zemí, pokud se jich útok dotkl.
V tuto chvíli jsou účty všech obětí již zablokovány a banka zahájila postup umožňující změnu jejich hesel. Dokument také uvádí, že HSBC nyní uživatelským účtům přidala určitou „další vrstvu ochrany“, zástupci finanční instituce se však do podrobností nepouštějí.
Soudě podle popisu útoku v dokumentu se HSBC setkala s takzvaným „credential stuffingem“ (vyplňováním přihlašovacích údajů). Tímto pojmem se označují situace, kdy jsou uživatelská jména a hesla odcizena na některých webech a poté použita proti jiným. Jinými slovy, útočníci mají k dispozici předem připravenou databázi přihlašovacích údajů (získaných na darknetu, nasbíraných vlastními silami apod.) a pokoušejí se je použít k přihlášení na všech webech a službách pod záminkou, že jsou svými oběťmi.
V důsledku útoku se neznámí útočníci mohli dostat k informacím o klientech HSBC: úplná jména, poštovní adresy, telefonní čísla, e-mailové adresy, data narození, čísla účtů, typy účtů, informace o zůstatcích, historie transakcí, historie výpisů a další.
Je známo, že zástupci HSBC nyní nabízejí dotčeným uživatelům roční bezplatné monitorování úvěrové historie a ochranu před krádeží identity.
