Volgens de Amerikaanse wetgeving zijn bedrijven verplicht de autoriteiten te informeren over cyberaanvallen die gericht zijn op ten minste 500 Amerikaanse burgers. In navolging van deze regel hebben vertegenwoordigers van het financiële gigantisch HSBC een verklaring gestuurd naar het kantoor van de procureur-generaal van Californië (PDF), waarin zij melding maakten van een recente aanval op hun systemen.
In het document staat dat het incident zich tussen 4 en 14 oktober 2018 heeft voorgedaan. Het exacte aantal getroffen gebruikers wordt niet bekendgemaakt, maar het zouden er “minder dan 1%” zijn geweest. Aangezien ongeveer 1,2 miljoen mensen in de Verenigde Staten gebruikmaken van de diensten van HSBC, gaat het slechts om zo’n 12.000 Amerikaanse gebruikers, nog los van klanten in andere landen, indien de aanval ook hen heeft getroffen.
Op dit moment zijn de accounts van alle slachtoffers al geblokkeerd en heeft de bank een procedure opgestart waarmee zij hun wachtwoorden kunnen wijzigen. Het document vermeldt ook dat HSBC inmiddels een zekere “extra beschermingslaag” aan de gebruikersaccounts heeft toegevoegd, maar vertegenwoordigers van de financiële instelling gaan niet in op de details.
Afgaande op de beschrijving van de aanval in het document, kreeg HSBC te maken met zogenaamde “credential stuffing”. Deze term verwijst naar situaties waarin gebruikersnamen en wachtwoorden op bepaalde sites worden gestolen en vervolgens op andere sites worden gebruikt. Met andere woorden: de aanvallers beschikken over een vooraf samengestelde database met inloggegevens (gekocht op het darknet, zelf verzameld, enz.) en proberen deze gegevens te gebruiken om in te loggen op alle sites en diensten onder het mom van hun slachtoffers.
À la suite de l’attaque, des assaillants inconnus ont pu accéder aux informations clients de HSBC. Il s’agit notamment des noms complets, adresses postales, numéros de téléphone, adresses e-mail, dates de naissance, numéros de compte, types de comptes, informations sur les soldes, historiques des transactions, historiques des relevés, etc.
Bekend is dat vertegenwoordigers van HSBC de getroffen gebruikers nu een jaar lang gratis kredietbewaking en bescherming tegen identiteitsdiefstal aanbieden.
