Хакер #305. Многошаговые SQL-инъекции
Согласно законам США, компании обязаны уведомить власти о кибератаках, затронувших 500 и более американских граждан. Соблюдая это правило, представители финансового гиганта HSBC направили в калифорнийскую Генеральную прокуратуру заявление (PDF), в котором сообщили о недавней атаке на свои системы.
В документе сказано, что инцидент имел место между 4 и 14 октября 2018 года. При этом точное количество пострадавших пользователей не раскрывается, но сообщается, что таковых было «менее 1%». Учитывая, что услугами HSBC в США пользуются около 1,2 млн человек, речь может идти только о 12 000 американских пользователей, не говоря о клиентах из других стран, если атака затронула и их.
В настоящее время учетные записи всех пострадавших уже были блокированы, и банк инициировал для них процедуру смены паролей. Также в документе сказано, что теперь HSBC добавил некий «дополнительно слой защиты» для пользовательских аккаунтов, но в детали представители финансового учреждения не вдаются.
Судя по описанию атаки в документе, HSBC столкнулся с так называемым credential stuffing. Этим термином обозначают ситуации, когда имена пользователей и пароли похищаются с одних сайтов, а затем используются против других. То есть злоумышленники имеют уже готовую базу учетных данных (приобретенную в даркнете, собранную самостоятельно и так далее) и пытаются использовать эти данные, чтобы авторизоваться на каких-либо сайтах и сервисах под видом своих жертв.
В результате атаки неизвестным злоумышленникам удалось получить доступ к информации о клиентах HSBC. На сторону утекли полные имена, почтовые адреса, телефонные номера, email-адреса, даты рождения, номера счетов, типы счетов, информация о балансах, истории транзакций, истории выписок и так далее.
Известно, что теперь представители HSBC предлагают пострадавшим пользователям год бесплатного кредитного мониторинга и защиты от кражи личности.
