Az amerikai jogszabályok értelmében a vállalatok kötelesek értesíteni a hatóságokat azokról a kibertámadásokról, amelyek legalább 500 amerikai állampolgárt érintenek. E szabály nyomán a pénzügyi óriás, a HSBC képviselői bejelentést küldtek Kalifornia főügyészi hivatalának (PDF), amelyben beszámoltak a rendszereik elleni közelmúltbeli támadásról.
A dokumentum szerint az incidens 2018. október 4. és 14. között történt. Az érintett felhasználók pontos számát nem közlik, de állításuk szerint „kevesebb mint 1%” lehetett. Mivel az Egyesült Államokban nagyjából 1,2 millió ember használja a HSBC szolgáltatásait, legfeljebb 12 000 amerikai felhasználóról lehet szó – a más országokban élő ügyfelekről nem is beszélve, amennyiben őket is érintette a támadás.
Jelenleg az összes áldozat fiókját már zárolták, a bank pedig eljárást indított a jelszavak megváltoztatására. A dokumentum azt is említi, hogy a HSBC mostanra bizonyos „további védelmi réteggel” látta el a felhasználói fiókokat, de a pénzintézet képviselői nem részletezik, hogy ez pontosan mit jelent.
A dokumentumban szereplő támadásleírás alapján a HSBC az úgynevezett „credential stuffing” (hitelesítőadat-újrafelhasználásos támadás) áldozata lett. Ez a kifejezés azokat a helyzeteket jelöli, amikor egyes oldalakról felhasználóneveket és jelszavakat lopnak el, majd azokat más oldalak ellen használják fel. Más szóval a támadók rendelkezésére áll egy előre összeállított hitelesítő adatokat tartalmazó adatbázis (darknetről szerzett, önállóan gyűjtött stb.), és ezekkel az adatokkal próbálnak bejelentkezni minden oldalra és szolgáltatásba az áldozataik nevében.
À la suite de l’attaque, des pirates inconnus ont pu accéder aux informations clients de HSBC. Il s’agit notamment des noms complets, adresses postales, numéros de téléphone, adresses e-mail, dates de naissance, numéros de compte, types de comptes, informations sur les soldes, historiques des transactions, historiques des relevés, etc.
Köztudott, hogy a HSBC képviselői mostantól egyéves ingyenes hitelfigyelést és személyazonosság-lopás elleni védelmet kínálnak az érintett felhasználóknak.
