Ao abrigo da legislação norte-americana, as empresas são obrigadas a informar as autoridades sobre ciberataques que visem pelo menos 500 cidadãos americanos. Em cumprimento desta regra, representantes do gigante financeiro HSBC enviaram ao gabinete do procurador-geral da Califórnia (PDF) uma declaração na qual davam conta de um ataque recente aos seus sistemas.
Le document indique que l’incident s’est produit entre le 4 et le 14 octobre 2018. Le nombre exact d’utilisateurs concernés n’est pas divulgué, mais il aurait été de «moins de 1 %». Sachant qu’environ 1,2 million de personnes utilisent les services HSBC aux États-Unis, il ne peut être question que de 12 000 utilisateurs américains, sans compter les clients d’autres pays, si l’attaque les a également touchés.
À l’heure actuelle, les comptes de toutes les victimes ont déjà été bloqués et la banque a lancé une procédure permettant de modifier leurs mots de passe. Le document indique également que HSBC a désormais ajouté une « couche de protection supplémentaire » pour les comptes des utilisateurs, mais les représentants de l’établissement financier n’entrent pas dans les détails.
A julgar pela descrição do ataque no documento, o HSBC foi alvo do chamado “credential stuffing” (preenchimento de credenciais). Este termo designa as situações em que nomes de utilizador e palavras-passe são roubados em determinados sites e depois utilizados noutros. Por outras palavras, os atacantes dispõem de uma base de dados predefinida de credenciais (obtidas na dark web, recolhidas de forma independente, etc.) e tentam usar esses dados para iniciar sessão em todos os sites e serviços fazendo-se passar pelas suas vítimas.
À la suite de l’attaque, des attaquants inconnus ont pu accéder aux informations clients de HSBC. Il s’agit notamment des noms complets, adresses postales, numéros de téléphone, adresses e-mail, dates de naissance, numéros de compte, types de comptes, informations sur les soldes, historiques des transactions, historiques des relevés, etc.
Il est notoire que les représentants de HSBC proposent désormais aux utilisateurs concernés une année de surveillance gratuite de leur crédit et de protection contre le vol d’identité.
