Berdasarkan hukum Amerika Serikat, perusahaan wajib melaporkan kepada pihak berwenang setiap serangan siber yang menyasar sedikitnya 500 warga negara AS. Sesuai aturan tersebut, perwakilan raksasa keuangan HSBC mengirimkan pemberitahuan kepada kantor jaksa agung California (PDF) yang melaporkan adanya serangan baru-baru ini terhadap sistem mereka.
Dokumen tersebut menyebutkan bahwa insiden itu terjadi antara 4 dan 14 Oktober 2018. Jumlah pasti pengguna yang terdampak tidak diungkapkan, tetapi disebutkan “kurang dari 1%”. Mengingat sekitar 1,2 juta orang menggunakan layanan HSBC di Amerika Serikat, jumlahnya hanya sekitar 12.000 pengguna AS, belum termasuk nasabah di negara lain jika serangan itu juga berdampak pada mereka.
Saat ini, akun semua korban telah diblokir dan bank telah memulai prosedur untuk mengganti kata sandi mereka. Dokumen tersebut juga menyebutkan bahwa HSBC kini telah menambahkan semacam “lapisan perlindungan tambahan” untuk akun pengguna, tetapi perwakilan lembaga keuangan itu tidak merinci lebih lanjut.
Dilihat dari deskripsi serangan dalam dokumen tersebut, HSBC menghadapi apa yang disebut “credential stuffing”. Istilah ini merujuk pada situasi ketika nama pengguna dan kata sandi dicuri dari suatu situs, lalu dipakai untuk menyerang situs lain. Dengan kata lain, para penyerang memiliki basis data kredensial yang sudah disiapkan (diperoleh dari darknet, dikumpulkan sendiri, dan sebagainya) dan mencoba menggunakannya untuk masuk ke berbagai situs dan layanan dengan menyamar sebagai para korbannya.
Akibat serangan itu, penyerang tak dikenal berhasil mengakses informasi nasabah HSBC. Informasi tersebut meliputi nama lengkap, alamat surat, nomor telepon, alamat e-mail, tanggal lahir, nomor rekening, jenis rekening, informasi saldo, riwayat transaksi, riwayat mutasi rekening, dan lain-lain.
Perwakilan HSBC dikabarkan kini menawarkan kepada pengguna yang terdampak layanan pemantauan kredit dan perlindungan dari pencurian identitas secara gratis selama satu tahun.
