Großbank HSBC räumt Hacker-Angriff ein

Die Großbank HSBC meldet einen Sicherheitsvorfall. Unbekannte haben offenbar auf eine nicht näher genannte Zahl von Konten des Geldinstituts zugegriffen. Das geht aus Unterlagen hervor, die HSBC bei den zuständigen Behörden im US-Bundesstaat Kalifornien eingereicht hat. Zu einem Einbruch in die Systeme der Bank ist es aber möglicherweise nicht gekommen.

„HSBC wurde darauf aufmerksam, dass zwischen dem 4. Oktober 2018 und dem 14. Oktober 2018 von nicht autorisierten Benutzern auf Online-Konten zugegriffen wurde“, schreibt die Bank in ihrem Brief an die Behörden. Ein Sprecher des Unternehmens wollte sich auf Nachfrage von ZDNet.com weder zur Zahl der Betroffenen noch zu deren Herkunft äußern.

Der Beschreibung des Vorfalls zufolge scheint es sich um einen Brute-Force-Angriff zu handeln, bei dem Passwörter erraten werden, um sich Zugang zu Nutzerkonten zu verschaffen. In der Regel verwenden Hacker bereits durchgesickerte Kombinationen aus Nutzernamen und Passwörtern, die aus anderen Angriffen stammen – in der Hoffnung, dass einige Nutzer ihre Passwörter für mehrere Dienste verwenden.

Einige der Versuche waren laut HSBC erfolgreich. Die Angreifer konnten demnach verschiedene Kundendaten einsehen, darunter möglicherweise, Namen, Postanschriften, Telefonnummern, E-Mail-Adressen, Geburtsdaten, Kontonummern, Kontostände und Kontobewegungen. Auf die Geldkonten ihrer Opfer hatten sie anscheinend aber keinen Zugriff.

HSBC hat nach eigenen Angaben die fraglichen Online-Konten gesperrt. Die Betroffenen müssen nun ihre Passwörter ändern. Darüber hinaus bietet die Bank ihren Kunden eine kostenlose Kreditüberwachung sowie einen Schutz vor Identitätsdiebstahl bis zu einer Schadensumme von 20.000 Dollar an. Nicht näher beschriebene zusätzliche Sicherheitsmaßnahmen sollen außerdem künftig den Authentifizierungsprozess besser schützen.

Es ist nicht der erste Sicherheitsvorfall der aus Großbritannien stammenden Bank. Im Januar und Juli 2016 war sie Opfer anhaltender DDoS-Angriffe. Kundendaten verlor sie bereits im April 2015 und im März 2010.