Международный финансовый гигант HSBC стал жертвой кибератаки с использованием украденных учетных данных (credential stuffing).
Согласно уведомлению HSBC, инцидент имел место в прошлом месяце. Как стало известно банку, в период с 4 по 14 октября к некоторым учетным записям пользователей был получен несанкционированный доступ. Атака затронула только клиентов HSBC в США и только 1% от всех американских клиентов (точное число пострадавших не уточняется).
В результате инцидента злоумышленникам удалось похитить имена, адреса и даты рождения пользователей, а также такую банковскую информацию, как номера и балансы счетов, история транзакций и номера счетов получателей. Использовались ли похищенные данные в преступных целях, не уточняется.
Атака credential stuffing основывается на автоматизированном подборе к учетным записям соответствующих паролей, полученных в результате прошлых утечек. Весьма странно, что клиенты HSBC могли стать жертвами подобной атаки, поскольку банки обычно используют двухфакторную аутентификацию, и простой брутфорс сработать не должен. Возникает вопрос, почему HSBC не использует двухфакторную аутентификацию, а если использует, то что в таком случае является истинной причиной утечки?
HSBC разослал клиентам, чьи учетные записи были затронуты атакой, соответствующие уведомления и предложил им бесплатную услугу мониторинга кредитной истории и защиты от кражи личности в течение одного года.
