Из HSBC утекли данные 1% клиентов из США

Фото: Anthony Kwan / Bloomberg

Международный финансовый гигант HSBC подвергся кибератаке с использованием украденных учетных данных (credential stuffing) в октября 2018 года.

Как стало известно банку, в период с 4 по 14 октября к некоторым учетным записям пользователей был получен несанкционированный доступ. Атака затронула только клиентов HSBC в США и только 1% от всех американских клиентов (точное число пострадавших не уточняется).

В результате инцидента злоумышленникам удалось похитить имена, адреса и даты рождения пользователей, а также такую банковскую информацию, как номера и балансы счетов, история транзакций и номера счетов получателей. Использовались ли похищенные данные в преступных целях, не уточняется.

Атака credential stuffing основывается на автоматизированном подборе к учетным записям соответствующих паролей, полученных в результате прошлых утечек. Весьма странно, что клиенты HSBC могли стать жертвами подобной атаки, поскольку банки обычно используют двухфакторную аутентификацию, и простой брутфорс сработать не должен. Возникает вопрос, почему HSBC не использует двухфакторную аутентификацию, а если использует, то что в таком случае является истинной причиной утечки?

HSBC разослал клиентам, чьи учетные записи были затронуты атакой, соответствующие уведомления и предложил им бесплатную услугу мониторинга кредитной истории и защиты от кражи личности в течение одного года.

По материалам securitylab.ru.