Згідно із законодавством США, компанії зобов’язані повідомляти органи влади про кібератаки, що зачепили щонайменше 500 громадян США. Відповідно до цього правила представники фінансового гіганта HSBC надіслали до офісу генерального прокурора Каліфорнії (PDF) заяву, в якій повідомили про нещодавню атаку на свої системи.
У документі зазначено, що інцидент стався в період з 4 по 14 жовтня 2018 року. Водночас точну кількість постраждалих користувачів не розголошується, але йдеться про «менше 1%». Зважаючи на те, що послугами HSBC у США користується приблизно 1,2 мільйона людей, мова може йти лише про 12 000 американських користувачів, не кажучи вже про клієнтів з інших країн, якщо атака зачепила й їх.
Наразі облікові записи всіх постраждалих уже заблоковано, а банк запустив процедуру зміни їхніх паролів. У документі також сказано, що тепер HSBC додав певний «додатковий рівень захисту» для облікових записів користувачів, але представники фінансової установи не вдаються до подробиць.
Судячи з опису атаки в документі, HSBC зіткнувся з так званим «credential stuffing» (підстановкою облікових даних). Цим терміном позначають ситуації, коли імена користувачів і паролі викрадають на одних сайтах, а потім використовують проти інших. Іншими словами, зловмисники мають готову базу облікових даних (придбаних у даркнеті, зібраних самостійно тощо) і намагаються використати їх, щоб входити на всі сайти та сервіси під виглядом своїх жертв.
Унаслідок атаки невідомі зловмисники могли отримати доступ до інформації про клієнтів HSBC: повних імен, поштових адрес, номерів телефонів, адрес електронної пошти, дат народження, номерів рахунків, типів рахунків, інформації про залишки, історії транзакцій, історії виписок тощо.
Відомо, що представники HSBC тепер пропонують постраждалим користувачам один рік безкоштовного моніторингу кредитної історії та захисту від крадіжки особистих даних.
