Secondo la legislazione statunitense, le aziende sono tenute a informare le autorità delle violazioni informatiche che colpiscono almeno 500 cittadini statunitensi. In conformità con questa norma, dei rappresentanti del colosso finanziario HSBC hanno inviato all’ufficio del procuratore generale della California (PDF) una dichiarazione in cui segnalavano un recente attacco contro i loro sistemi.
Il documento indica che l’incidente si è verificato tra il 4 e il 14 ottobre 2018. Allo stesso tempo, il numero esatto di utenti interessati non viene reso noto, ma si parla di «meno dell’1%». Considerando che circa 1,2 milioni di persone utilizzano i servizi HSBC negli Stati Uniti, si può parlare solo di 12.000 utenti statunitensi, senza contare i clienti di altri paesi, qualora anche questi siano stati coinvolti nell’attacco.
Al momento, gli account di tutte le vittime sono già stati bloccati e la banca ha avviato una procedura che consente di modificare le loro password. Il documento riferisce inoltre che HSBC ha aggiunto un certo “livello di protezione aggiuntivo” per gli account degli utenti, ma i rappresentanti dell’istituto finanziario non entrano nei dettagli.
Stando alla descrizione dell’attacco nel documento, HSBC è stata vittima di quello che viene definito “credential stuffing” (riempimento di credenziali). Questo termine indica le situazioni in cui nomi utente e password vengono sottratti da alcuni siti e poi utilizzati contro altri. In altre parole, gli attaccanti dispongono di un database predefinito di credenziali (acquisite su una darknet, raccolte autonomamente, ecc.) e cercano di usare tali dati per accedere a tutti i siti e servizi facendosi passare per le loro vittime.
In seguito all’attacco, degli aggressori sconosciuti sono riusciti ad accedere alle informazioni dei clienti di HSBC. Nomi completi, indirizzi postali, numeri di telefono, indirizzi e-mail, date di nascita, numeri di conto, tipologie di conto, informazioni sui saldi, cronologia delle transazioni, cronologia degli estratti conto, ecc.
È noto che i rappresentanti di HSBC offrono ora agli utenti interessati un anno di monitoraggio gratuito del credito e di protezione contro il furto d’identità.
