По американскому законодательству компании обязаны сообщать властям о кибератаках, затрагивающих не менее 500 граждан США. В соответствии с этим требованием представители финансового гиганта HSBC направили в канцелярию генерального прокурора Калифорнии (PDF) заявление, в котором сообщили о недавней атаке на их системы.
В документе говорится, что инцидент произошёл в период с 4 по 14 октября 2018 года. При этом точное число затронутых пользователей не раскрывается, однако указано, что их было «менее 1%». Учитывая, что около 1,2 миллиона человек пользуются услугами HSBC в Соединённых Штатах, речь может идти лишь о 12 000 пользователях из США, не считая клиентов из других стран, если атака затронула и их.
На данный момент учётные записи всех пострадавших уже заблокированы, а банк запустил процедуру смены их паролей. В документе также сообщается, что HSBC добавил определённый «дополнительный уровень защиты» для пользовательских аккаунтов, однако представители финансового учреждения не вдаются в подробности.
Судя по описанию атаки в документе, HSBC столкнулся с так называемым «подбором учётных данных» (credential stuffing). Этот термин обозначает ситуации, когда имена пользователей и пароли похищаются на одних сайтах, а затем используются для доступа к другим. Иными словами, злоумышленники располагают заранее составленной базой учётных данных (полученной в даркнете, собранной самостоятельно и т. д.) и пытаются с их помощью войти во все сайты и сервисы под видом своих жертв.
В результате атаки неизвестные злоумышленники получили доступ к клиентским данным HSBC. Речь идёт о полных именах, почтовых адресах, номерах телефонов, адресах электронной почты, датах рождения, номерах счетов, типах счетов, сведениях о балансе, истории транзакций, истории выписок и т. д.
Известно, что представители HSBC теперь предлагают затронутым пользователям бесплатный годовой мониторинг кредитной истории и защиту от кражи личности.
