अमेरिकी कानून के तहत, कंपनियों को कम से कम 500 अमेरिकी नागरिकों को निशाना बनाने वाले साइबर हमलों की सूचना अधिकारियों को देनी होती है। इसी नियम के अनुसार, वित्तीय क्षेत्र की दिग्गज कंपनी HSBC के प्रतिनिधियों ने कैलिफ़ोर्निया के अटॉर्नी जनरल के कार्यालय (PDF) को एक घोषणा भेजी, जिसमें उन्होंने अपने सिस्टम पर हुए हालिया हमले की जानकारी दी।
इस दस्तावेज़ के अनुसार, यह घटना 4 से 14 अक्टूबर 2018 के बीच हुई थी। साथ ही, प्रभावित उपयोगकर्ताओं की सटीक संख्या का खुलासा नहीं किया गया है, लेकिन बताया गया है कि यह «1% से कम» रही होगी। चूँकि अमेरिका में लगभग 12 लाख लोग HSBC की सेवाओं का उपयोग करते हैं, इसलिए यह संख्या केवल लगभग 12,000 अमेरिकी उपयोगकर्ताओं की हो सकती है, और यदि हमले ने अन्य देशों के ग्राहकों को प्रभावित किया है, तो उनकी बात तो अलग है।
फ़िलहाल, सभी पीड़ितों के खाते पहले ही ब्लॉक कर दिए गए हैं और बैंक ने उनके पासवर्ड बदलने की प्रक्रिया शुरू कर दी है। दस्तावेज़ में यह भी बताया गया है कि अब HSBC ने उपयोगकर्ता खातों के लिए एक प्रकार की “अतिरिक्त सुरक्षा परत” जोड़ दी है, लेकिन वित्तीय संस्थान के प्रतिनिधि इसके विवरण में नहीं जाते।
दस्तावेज़ में हमले के विवरण को देखते हुए, HSBC को वही सामना करना पड़ा जिसे “क्रेडेंशियल स्टफिंग” कहा जाता है। यह शब्द उन स्थितियों को दर्शाता है जिनमें कुछ साइटों से यूज़रनेम और पासवर्ड चुरा लिए जाते हैं और फिर उन्हें अन्य साइटों के विरुद्ध इस्तेमाल किया जाता है। दूसरे शब्दों में, हमलावरों के पास लॉगिन जानकारी का एक पहले से तैयार डेटाबेस होता है (जो डार्कनेट से हासिल किया गया हो, स्वतंत्र रूप से जुटाया गया हो, आदि), और वे इस डेटा के सहारे अपने पीड़ितों के नाम पर सभी साइटों और सेवाओं में लॉग इन करने की कोशिश करते हैं।
इस हमले के परिणामस्वरूप, अज्ञात हमलावर HSBC के ग्राहकों की जानकारी तक पहुँचने में सफल रहे। इनमें पूरे नाम, डाक पते, फ़ोन नंबर, ईमेल पते, जन्मतिथियाँ, खाता संख्याएँ, खातों के प्रकार, बैलेंस की जानकारी, लेन-देन का इतिहास, स्टेटमेंट का इतिहास आदि शामिल हैं।
यह सर्वविदित है कि HSBC के प्रतिनिधि अब प्रभावित उपयोगकर्ताओं को एक वर्ष के लिए निःशुल्क क्रेडिट मॉनिटरिंग और पहचान की चोरी से सुरक्षा की सुविधा प्रदान कर रहे हैं।
