Σύμφωνα με την αμερικανική νομοθεσία, οι εταιρείες υποχρεούνται να ενημερώνουν τις αρχές για κυβερνοεπιθέσεις που στοχεύουν τουλάχιστον 500 Αμερικανούς πολίτες. Κατ’ εφαρμογή του κανόνα αυτού, εκπρόσωποι του χρηματοπιστωτικού κολοσσού HSBC απέστειλαν στο γραφείο του γενικού εισαγγελέα της Καλιφόρνιας (PDF) δήλωση, στην οποία ανέφεραν πρόσφατη επίθεση εναντίον των συστημάτων τους.
Το έγγραφο αναφέρει ότι το περιστατικό σημειώθηκε μεταξύ 4 και 14 Οκτωβρίου 2018. Ταυτόχρονα, ο ακριβής αριθμός των χρηστών που επηρεάστηκαν δεν γνωστοποιείται, αλλά φέρεται να ήταν «λιγότεροι από 1%». Δεδομένου ότι περίπου 1,2 εκατομμύρια άνθρωποι χρησιμοποιούν τις υπηρεσίες της HSBC στις Ηνωμένες Πολιτείες, μπορεί να γίνει λόγος μόνο για 12.000 Αμερικανούς χρήστες, χωρίς να υπολογίζονται οι πελάτες άλλων χωρών, αν η επίθεση τους επηρέασε.
Επί του παρόντος, οι λογαριασμοί όλων των θυμάτων έχουν ήδη αποκλειστεί και η τράπεζα έχει ξεκινήσει διαδικασία που επιτρέπει την αλλαγή των κωδικών πρόσβασής τους. Το έγγραφο αναφέρει επίσης ότι η HSBC έχει πλέον προσθέσει ένα «επιπλέον επίπεδο προστασίας» για τους λογαριασμούς των χρηστών, όμως οι εκπρόσωποι του χρηματοπιστωτικού ιδρύματος δεν δίνουν λεπτομέρειες.
Αν κρίνουμε από την περιγραφή της επίθεσης στο έγγραφο, η HSBC αντιμετώπισε αυτό που ονομάζεται «credential stuffing» (εισαγωγή κλεμμένων διαπιστευτηρίων). Ο όρος αυτός περιγράφει καταστάσεις στις οποίες ονόματα χρηστών και κωδικοί πρόσβασης κλέβονται από ορισμένους ιστότοπους και στη συνέχεια χρησιμοποιούνται εναντίον άλλων. Με άλλα λόγια, οι επιτιθέμενοι διαθέτουν μια προκαθορισμένη βάση δεδομένων διαπιστευτηρίων (που αποκτήθηκαν στο darknet, συλλέχθηκαν ανεξάρτητα κ.λπ.) και επιχειρούν να χρησιμοποιήσουν αυτά τα δεδομένα για να συνδεθούν σε όλους τους ιστότοπους και τις υπηρεσίες υποδυόμενοι τα θύματά τους.
Μετά την επίθεση, άγνωστοι επιτιθέμενοι κατάφεραν να αποκτήσουν πρόσβαση σε πληροφορίες πελατών της HSBC: ονοματεπώνυμα, ταχυδρομικές διευθύνσεις, αριθμούς τηλεφώνου, διευθύνσεις e-mail, ημερομηνίες γέννησης, αριθμούς λογαριασμών, τύπους λογαριασμών, πληροφορίες για υπόλοιπα, ιστορικό συναλλαγών, ιστορικό αντιγράφων κίνησης λογαριασμού κ.ά.
Είναι γνωστό ότι οι εκπρόσωποι της HSBC προσφέρουν πλέον στους επηρεασμένους χρήστες ένα έτος δωρεάν παρακολούθησης της πιστοληπτικής ικανότητας και προστασίας από την κλοπή ταυτότητας.
