미국 법률에 따라 기업은 최소 500명 이상의 미국 시민을 대상으로 한 사이버 공격이 발생하면 이를 당국에 알려야 합니다. 이 규정에 따라 금융 대기업 HSBC 측은 캘리포니아주 법무장관실에 최근 자사 시스템에 대한 공격이 있었음을 알리는 신고서(PDF)를 제출했습니다.
해당 문서에 따르면 이번 사건은 2018년 10월 4일부터 14일 사이에 발생했습니다. 영향을 받은 정확한 이용자 수는 공개되지 않았지만 ‘1% 미만’이었던 것으로 전해집니다. 미국에서 HSBC 서비스를 이용하는 사람이 약 120만 명이라는 점을 고려하면, 공격이 다른 국가의 고객에게까지 영향을 미쳤는지는 차치하더라도 미국 이용자만 약 1만 2천 명에 해당한다고 볼 수 있습니다.
현재 모든 피해자의 계정은 이미 차단되었으며, 은행은 비밀번호를 변경할 수 있는 절차를 시작했습니다. 문서에는 HSBC가 이제 이용자 계정에 일종의 ‘추가 보호 계층’을 도입했다고 적혀 있지만, 금융기관 측은 구체적인 내용은 밝히지 않았습니다.
문서에 기술된 공격 내용으로 보아 HSBC는 이른바 ‘크리덴셜 스터핑'(credential stuffing) 공격을 받은 것으로 보입니다. 이 용어는 일부 사이트에서 탈취한 사용자 이름과 비밀번호를 다른 사이트에 대입해 사용하는 상황을 가리킵니다. 즉, 공격자들은 다크넷에서 구입했거나 직접 수집한 인증 정보 데이터베이스를 미리 확보해 두고, 이를 이용해 피해자로 가장하여 온갖 사이트와 서비스에 로그인을 시도합니다.
이번 공격으로 신원을 알 수 없는 공격자들이 HSBC 고객 정보에 접근할 수 있었습니다. 유출된 정보에는 성명, 우편 주소, 전화번호, 이메일 주소, 생년월일, 계좌 번호, 계좌 유형, 잔액 정보, 거래 내역, 명세서 내역 등이 포함됩니다.
현재 HSBC 측은 피해를 입은 이용자들에게 1년간 무료 신용 모니터링과 신원 도용 방지 서비스를 제공하고 있는 것으로 알려졌습니다.
