Крупнейший банк Индии подтвердил утечку: 3897 записей клиентов нашли в даркнете

State Bank of India, крупнейший и государственный банк страны, подтвердил, что столкнулся с утечкой данных. В биржевом сообщении от 21 октября банк сообщил об «инциденте, связанном с потерей определённых данных», уклончиво добавив, что речь идёт о «предполагаемой компрометации».

Среди примерно 375 000 записей, выставленных в даркнете, банк опознал 3897 записей с персональными данными своих клиентов — примерно одну из ста изученных. Оценка предварительная: банк пока не установил ни подлинность данных, ни масштаб раскрытия, ни риск для клиентов.

Что попало в утечку

По формулировке сообщения, раскрытая информация «предположительно включала зарегистрированные номера телефонов, даты рождения, имена, пол, адреса электронной почты, домашние адреса, идентификаторы отделений и CIF, идентификаторы заявок (lead ID), а также метаданные, связанные с записями о кредитах и заявках». CIF — внутренний номер клиентского досье банка.

Важно, чего в перечне нет: номеров счетов, остатков, паролей, одноразовых кодов, данных карт и государственных идентификаторов вроде PAN или Aadhaar. Главная угроза здесь — выдача себя за банк: звонок или сообщение, где злоумышленник оперирует именем, телефоном, датой рождения, адресом и внутренним идентификатором клиента, выглядит убедительно.

Как узнали

Предупреждение пришло банку 16 октября — через поставщика threat intelligence, национальную службу реагирования CERT-In и кибер­агентство министерства обороны. Банк задействовал процедуры реагирования и привлёк независимую фирму из перечня аудиторов CERT-In. На основную деятельность, финансовые показатели и непрерывность бизнеса инцидент, по словам банка, существенно не повлиял — но это сказано о банке, а не о клиентах.

В сообщении не названы ни атакующий, ни форум, ни набор данных. Однако цифра около 375 000 совпадает с публикацией мониторингового аккаунта CyberPulse56 в X от 16 октября: некто под именем Siriusim заявил об утечке 375 000 строк в CSV и 2722 PDF-документов, якобы связанных с SBI, — заявки на кредиты, формы открытия счетов, адреса.

Издание The Free Press Journal изучило объявление на форуме BreachForums и нашло четыре образца записей. Телефонные номера оказались действующими; фото в профиле WhatsApp на одном из номеров совпало с паспортным снимком из KYC-документа, который злоумышленник тоже выложил. Но проверка четырёх записей не доказывает подлинность всего массива и не показывает, принадлежат ли данные самому SBI, его дочерней структуре или стороннему подрядчику.

Принадлежность 2722 PDF к тому, что анализировал банк, не подтверждена. Был ли взломан хоть один системный контур SBI — открытый вопрос; источник и дату появления данных банк оставил следствию. Любопытно, что в июле почти теми же словами, включая оборот «предполагаемая компрометация», об инциденте отчитался другой госбанк — Bank of Baroda, но тот хотя бы назвал предварительную причину.

Источник: The Hacker News