美国の法律により、企業は少なくとも500人の米国市民に影響を与えたサイバー攻撃について当局に報告する義務があります。この規則を受けて、金融大手HSBCの代表者らは、同社のシステムに対する最近の攻撃について述べた声明を、カリフォルニア州司法長官事務所に提出しました（PDF）。
この文書によると、インシデントは2018年10月4日から14日の間に発生しました。一方、影響を受けたユーザーの正確な数は公表されていませんが、「1%未満」であったとされています。米国内でHSBCのサービスを利用している人は約120万人と推定されるため、攻撃の影響があったとしても、話せるのは米国のユーザー1万2000人程度にとどまり、他国の顧客は含まれていません。
現時点では、被害者全員のアカウントがすでに凍結されており、銀行はパスワードを変更するための手続きを開始しています。また、文書にはHSBCが現在、ユーザーアカウントに「追加の保護層」を加えたとも記されていますが、金融機関の担当者は詳細には触れていません。
文書における攻撃の説明から判断すると、HSBCが直面したのは「クレデンシャル・スタッフィング」と呼ばれるものだったようです。この用語は、あるサイトで盗まれたユーザー名とパスワードが、別のサイトに対して悪用される状況を指します。言い換えれば、攻撃者は事前に用意された認証情報のデータベース（ダークウェブで入手したもの、独自に収集したものなど）を持っており、それを使って被害者になりすまし、あらゆるサイトやサービスへのログインを試みるのです。
攻撃の結果、不明な攻撃者がHSBCの顧客情報にアクセスできた可能性があります。氏名、郵便住所、電話番号、メールアドレス、生年月日、口座番号、口座の種類、残高情報、取引履歴、明細の履歴などです。
HSBCの代表者は、影響を受けたユーザーに対して1年間の無料のクレジットモニタリングと身元盗用からの保護を提供していることで知られています。
