State Bank of India ha confermato un data leak dopo l’individuazione di 3897 record di clienti contenenti dati personali all’interno di un archivio più ampio di circa 375000 record reso disponibile sul dark web. La banca ha dichiarato di non conoscere ancora la provenienza dei dati né di poter stabilire con certezza autenticità, estensione dell’esposizione e impatto effettivo sui clienti.
Si tratta quindi di una valutazione preliminare che potrebbe cambiare con il proseguire delle analisi forensi.
Secondo la comunicazione ufficiale, le informazioni esposte includerebbero numeri di cellulare registrati, date di nascita, nomi, genere, indirizzi email, indirizzi di residenza, riferimenti di filiale e identificativi CIF, oltre a lead ID e metadati collegati a pratiche di prestiti e lead. Il codice CIF è un identificativo interno usato per associare e gestire la scheda informativa del cliente. Non è stato chiarito se i 3897 record corrispondano a 3897 persone distinte né cosa contenga esattamente il resto del dataset.
Un elemento rilevante per la sicurezza bancaria è che, nelle categorie citate, non risultano inclusi numeri di conto, saldi, password, codici OTP, dettagli di carte o identificativi governativi come PAN o Aadhaar. Questo non elimina il rischio: la combinazione di dati anagrafici e di contatto può infatti facilitare frodi di impersonificazione e social engineering, ad esempio telefonate o messaggi che sembrano provenire dalla banca grazie a riferimenti credibili come nome, data di nascita, indirizzo, filiale e ID interno.
L’allerta sarebbe arrivata il 16 ottobre tramite un fornitore di threat intelligence e tramite CERT-In insieme alla Defense Cyber Agency. A seguito della segnalazione, la banca ha attivato procedure di incident response e contenimento e ha coinvolto una società indipendente di cybersecurity selezionata tra gli auditor approvati. La banca ha anche indicato che l’incidente non ha avuto impatti materiali sulle operazioni core, sulla performance finanziaria o sulla business continuity.
Resta aperta la questione se vi sia stata una compromissione diretta di sistemi SBI o se la fonte sia esterna, come una controllata o un fornitore terzo che gestisce processi e documentazione. Non è stata indicata una data di prima comparsa dei dati né è stato attribuito l’attacco a un soggetto specifico.