Enligt amerikansk lagstiftning är företag skyldiga att informera myndigheterna om cyberattacker som drabbar minst 500 amerikanska medborgare. I enlighet med denna regel har representanter för finansjätten HSBC skickat en anmälan till Kaliforniens justitiekanslers kontor (PDF), där de redogör för en nyligen genomförd attack mot bankens system.
Dokumentet anger att incidenten inträffade mellan den 4 och den 14 oktober 2018. Det exakta antalet drabbade användare avslöjas inte, men det ska ha rört sig om ”mindre än 1 %”. Eftersom cirka 1,2 miljoner människor använder HSBC:s tjänster i USA kan det handla om som mest 12 000 amerikanska användare, för att inte tala om kunder i andra länder, om attacken drabbade dem.
I nuläget har alla drabbade konton redan spärrats, och banken har inlett ett förfarande som gör det möjligt för kunderna att byta lösenord. Av dokumentet framgår också att HSBC nu har lagt till ett visst ”extra skyddslager” för användarkonton, men företrädare för finansinstitutet går inte närmare in på detaljerna.
Att döma av beskrivningen av attacken i dokumentet har HSBC drabbats av så kallad ”credential stuffing”. Termen avser situationer där användarnamn och lösenord stjäls från vissa webbplatser och sedan används mot andra. Med andra ord har angriparna en färdig databas med inloggningsuppgifter (inköpta på darknet, insamlade på egen hand med mera) och försöker använda dessa uppgifter för att logga in på alla webbplatser och tjänster i sina offers namn.
À la suite de l’attaque, des pirates inconnus ont pu accéder aux informations clients de HSBC. Il s’agit des noms complets, adresses postales, numéros de téléphone, adresses e-mail, dates de naissance, numéros de compte, types de comptes, informations sur les soldes, historiques des transactions, historiques des relevés, etc.
Det är känt att HSBC:s representanter nu erbjuder de berörda användarna ett års gratis kreditövervakning och skydd mot identitetsstöld.
