Gemäß der US-amerikanischen Gesetzgebung sind Unternehmen verpflichtet, die Behörden über Cyberangriffe zu informieren, die mindestens 500 US-Bürger betreffen. Aufgrund dieser Regelung haben Vertreter des Finanzriesen HSBC dem Büro des Generalstaatsanwalts von Kalifornien (PDF) eine Erklärung übermittelt, in der sie von einem kürzlichen Angriff auf ihre Systeme berichteten.
Dem Dokument zufolge ereignete sich der Vorfall zwischen dem 4. und dem 14. Oktober 2018. Die genaue Zahl der betroffenen Nutzer wird zwar nicht offengelegt, doch soll es sich um „weniger als 1 %“ gehandelt haben. Da rund 1,2 Millionen Menschen die Dienste von HSBC in den Vereinigten Staaten nutzen, kann man somit nur von etwa 12.000 US-amerikanischen Nutzern sprechen, ganz abgesehen von Kunden aus anderen Ländern, falls der Angriff auch diese betroffen hat.
Derzeit wurden die Konten aller Betroffenen bereits gesperrt, und die Bank hat ein Verfahren eingeleitet, mit dem die Nutzer ihre Passwörter ändern können. Das Dokument besagt außerdem, dass HSBC nun eine gewisse „zusätzliche Schutzebene“ für die Nutzerkonten eingeführt hat, die Vertreter des Finanzinstituts gehen jedoch nicht näher darauf ein.
Der Beschreibung des Angriffs im Dokument zufolge hat HSBC mit dem sogenannten „Credential Stuffing“ zu tun gehabt. Dieser Begriff bezeichnet Situationen, in denen Benutzernamen und Passwörter auf bestimmten Seiten gestohlen und anschließend bei anderen Seiten missbraucht werden. Anders gesagt verfügen die Angreifer über eine vorab erstellte Datenbank mit Zugangsdaten (die etwa im Darknet erworben, unabhängig gesammelt oder anderweitig beschafft wurden) und versuchen, diese Daten zu nutzen, um sich unter dem Vorwand ihrer Opfer bei allen möglichen Seiten und Diensten anzumelden.
Infolge des Angriffs konnten unbekannte Angreifer auf die Kundendaten von HSBC zugreifen. Dazu gehören vollständige Namen, Postadressen, Telefonnummern, E-Mail-Adressen, Geburtsdaten, Kontonummern, Kontotypen, Informationen zu Kontoständen, der Transaktionshistorie, dem Kontoauszugsverlauf usw.
Bekanntermaßen bieten die Vertreter von HSBC den betroffenen Nutzern nun ein Jahr kostenlose Kreditüberwachung und Schutz vor Identitätsdiebstahl an.
