I henhold til amerikansk lovgivning er selskaper pliktige til å varsle myndighetene om dataangrep som rammer minst 500 amerikanske borgere. I tråd med denne regelen sendte representanter for finansgiganten HSBC en melding til Californias riksadvokatembete (PDF), der de redegjorde for et nylig angrep på systemene sine.
Dokumentet opplyser at hendelsen fant sted mellom 4. og 14. oktober 2018. Det eksakte antallet berørte brukere oppgis ikke, men det skal ha dreid seg om «mindre enn 1 %». Siden rundt 1,2 millioner mennesker bruker HSBCs tjenester i USA, kan det være snakk om omtrent 12 000 amerikanske brukere, uten å regne med kunder i andre land, dersom angrepet også rammet dem.
For øyeblikket er kontoene til alle ofrene allerede sperret, og banken har igangsatt en prosedyre for å endre passordene deres. Dokumentet opplyser også at HSBC nå har lagt til et «ekstra beskyttelseslag» for brukerkontoer, men representantene for finansinstitusjonen går ikke nærmere inn på detaljene.
Etter beskrivelsen av angrepet i dokumentet å dømme, har HSBC vært utsatt for såkalt «credential stuffing». Begrepet beskriver situasjoner der brukernavn og passord stjeles fra enkelte nettsteder og deretter brukes mot andre. Med andre ord har angriperne en ferdig database med påloggingsopplysninger (kjøpt på darknet, samlet inn på egen hånd osv.) og forsøker å bruke disse dataene til å logge inn på alle nettsteder og tjenester i ofrenes navn.
À la suite de l’attaque, des pirates inconnus ont pu accéder aux informations clients de HSBC. Il s’agit des noms complets, adresses postales, numéros de téléphone, adresses e-mail, dates de naissance, numéros de compte, types de comptes, informations sur les soldes, historiques des transactions, historiques des relevés, etc.
Det er kjent at HSBCs representanter nå tilbyr de berørte brukerne ett års gratis kredittovervåking og beskyttelse mot identitetstyveri.
