Conform legislației americane, companiile sunt obligate să informeze autoritățile despre atacurile cibernetice care vizează cel puțin 500 de cetățeni americani. În urma acestei reguli, reprezentanți ai gigantului financiar HSBC au trimis Biroului procurorului general din California (PDF) o declarație în care raportau un atac recent asupra sistemelor lor.
Documentul arată că incidentul a avut loc între 4 și 14 octombrie 2018. Totodată, numărul exact al utilizatorilor afectați nu este dezvăluit, dar ar fi vorba despre „mai puțin de 1%”. Având în vedere că aproximativ 1,2 milioane de persoane folosesc serviciile HSBC în Statele Unite, se poate vorbi doar despre 12 000 de utilizatori americani, fără a-i pune la socoteală pe clienții din alte țări, în cazul în care atacul i-a afectat și pe ei.
În prezent, conturile tuturor victimelor au fost deja blocate, iar banca a lansat o procedură care le permite să-și schimbe parolele. Documentul mai precizează că HSBC a adăugat acum un „strat suplimentar de protecție” pentru conturile utilizatorilor, însă reprezentanții instituției financiare nu intră în detalii.
Judecând după descrierea atacului din document, HSBC s-a confruntat cu ceea ce se numește „credential stuffing”. Acest termen desemnează situațiile în care numele de utilizator și parolele sunt furate de pe anumite site-uri, apoi folosite împotriva altora. Cu alte cuvinte, atacatorii dispun de o bază de date prestabilită de date de autentificare (obținute pe un darknet, colectate independent etc.) și încearcă să folosească aceste date pentru a se conecta la toate site-urile și serviciile, dându-se drept victimele lor.
À la suite de l’attaque, des pirates inconnus ont pu accéder aux informations clients de HSBC. Il s’agit des noms complets, adresses postales, numéros de téléphone, adresses e-mail, dates de naissance, numéros de compte, types de comptes, informations sur les soldes, historiques des transactions, historiques des relevés, etc.
Se știe că reprezentanții HSBC le oferă acum utilizatorilor afectați un an de monitorizare gratuită a creditului și de protecție împotriva furtului de identitate.
