בהתאם לחקיקה האמריקאית, חברות מחויבות לדווח לרשויות על מתקפות סייבר שפגעו בלפחות 500 אזרחים אמריקאים. בעקבות כלל זה, נציגים של ענקית הפיננסים HSBC שלחו למשרד התובע הכללי של קליפורניה (PDF) הצהרה שבה דיווחו על מתקפה אחרונה על מערכותיהם.
המסמך מציין כי האירוע התרחש בין ה-4 ל-14 באוקטובר 2018. יחד עם זאת, מספר המשתמשים שנפגעו בפועל אינו מפורסם, אך לפי הדיווח היה מדובר ב”פחות מ-1%”. מאחר שכ-1.2 מיליון אנשים משתמשים בשירותי HSBC בארצות הברית, ניתן לדבר רק על כ-12,000 משתמשים אמריקאים, מבלי להתייחס ללקוחות ממדינות אחרות, אם גם הם נפגעו מהמתקפה.
נכון לעכשיו, חשבונותיהם של כל הקורבנות כבר נחסמו, והבנק השיק הליך שמאפשר להם לשנות את סיסמאותיהם. המסמך מציין עוד כי HSBC הוסיפה כעת “שכבת הגנה נוספת” לחשבונות המשתמשים, אך נציגי המוסד הפיננסי אינם נכנסים לפרטים.
לפי תיאור המתקפה במסמך, נראה ש-HSBC נתקלה במה שמכונה “מילוי אישורי זהות” (credential stuffing). מונח זה מתייחס למצבים שבהם שמות משתמש וסיסמאות נגנבים מאתרים מסוימים ואז משמשים נגד אתרים אחרים. במילים אחרות, התוקפים מחזיקים במאגר נתונים מוכן מראש של פרטי זיהוי (שנרכשו ברשת האפלה, נאספו באופן עצמאי וכדומה) ומנסים להשתמש בנתונים אלה כדי להתחבר לכל האתרים והשירותים בשמם של הקורבנות.
בעקבות המתקפה, תוקפים לא ידועים הצליחו לגשת למידע על לקוחות HSBC.שמות מלאים, כתובות דואר, מספרי טלפון, כתובות דוא”ל, תאריכי לידה, מספרי חשבון, סוגי חשבונות, פרטים על יתרות, היסטוריית עסקאות, היסטוריית דפי חשבון וכדומה.
ידוע כי נציגי HSBC מציעים כעת למשתמשים הנוגעים בדבר שנה של ניטור אשראי חינם והגנה מפני גניבת זהות.
