Yhdysvaltain lainsäädännön mukaan yritysten on ilmoitettava viranomaisille kyberhyökkäyksistä, jotka kohdistuvat vähintään 500 yhdysvaltalaiseen kansalaiseen. Tämän säännön nojalla rahoitusalan jättiläisen HSBC:n edustajat lähettivät Kalifornian oikeusministerin toimistolle (PDF) ilmoituksen, jossa he kertoivat äskettäisestä hyökkäyksestä yhtiön järjestelmiin.
Asiakirjan mukaan välikohtaus tapahtui 4.–14. lokakuuta 2018. Samalla kärsineiden käyttäjien tarkkaa määrää ei kerrota, mutta heitä olisi ollut “alle 1 %”. Koska HSBC:n palveluita käyttää Yhdysvalloissa noin 1,2 miljoonaa ihmistä, puhutaan vain noin 12 000 yhdysvaltalaisesta käyttäjästä, puhumattakaan muiden maiden asiakkaista, jos hyökkäys koski myös heitä.
Tällä hetkellä kaikkien uhrien tilit on jo lukittu, ja pankki on aloittanut menettelyn, jonka avulla he voivat vaihtaa salasanansa. Asiakirjan mukaan HSBC on myös lisännyt käyttäjätileille jonkinlaisen “lisäsuojakerroksen”, mutta rahoituslaitoksen edustajat eivät kerro tarkempia yksityiskohtia.
Asiakirjassa olevan hyökkäyskuvauksen perusteella HSBC joutui niin sanotun “credential stuffing” -hyökkäyksen kohteeksi. Termillä tarkoitetaan tilanteita, joissa käyttäjätunnuksia ja salasanoja varastetaan joiltakin sivustoilta ja käytetään sitten muita sivustoja vastaan. Toisin sanoen hyökkääjillä on valmis tietokanta tunnistetiedoista (hankittu pimeästä verkosta, kerätty itse tms.), ja he yrittävät käyttää niitä kirjautuakseen kaikille sivustoille ja palveluihin uhriensa nimissä.
Hyökkäyksen seurauksena tuntemattomat hyökkääjät pääsivät käsiksi HSBC:n asiakastietoihin: koko nimiin, postiosoitteisiin, puhelinnumeroihin, sähköpostiosoitteisiin, syntymäaikoihin, tilinumeroihin, tilityyppeihin, saldotietoihin, tapahtumahistoriaan, tiliotehistoriaan ja muihin.
Tiedetään, että HSBC:n edustajat tarjoavat nyt asianomaisille käyttäjille vuoden ajaksi maksutonta luottotietojen seurantaa ja suojaa identiteettivarkauksia vastaan.
