O State Bank of India identificou 3.897 registros de clientes com informações pessoais em um conjunto de cerca de 375.000 registros disponível na dark web. O banco ainda não sabe de onde os dados vieram.
A maior instituição bancária da Índia, controlada pelo governo, informou em comunicado enviado à bolsa de valores em 21 de outubro que “houve um incidente envolvendo a perda de determinados dados”. O número é preliminar. O banco ainda não conseguiu confirmar se os dados são autênticos, qual foi a dimensão da exposição nem que riscos ela representa para os clientes.
Segundo o comunicado, as informações expostas “supostamente incluem números de celular cadastrados, datas de nascimento, nomes, gênero, endereços de e-mail e residenciais, identificadores de agências e do CIF, IDs de potenciais clientes, além de metadados associados a registros de empréstimos e de potenciais clientes e a outros arquivos relacionados”. CIF é a sigla de Customer Information File, o arquivo de informações do cliente, uma identificação interna atribuída pelo banco a cada cliente.
O banco não informou se os 3.897 registros correspondem a 3.897 pessoas diferentes nem o que contém o restante do conjunto. Os registros identificados representam cerca de 1% dos que foram examinados.
O comunicado não inclui números de contas, saldos, senhas, códigos de uso único, dados de cartões ou números de documentos oficiais, como PAN ou Aadhaar. O risco associado às informações listadas é a possibilidade de falsificação de identidade: uma ligação ou mensagem que use o nome, o celular, a data de nascimento, o endereço, a agência e o identificador interno de um cliente pode parecer ter sido enviada pelo banco.
O banco recebeu o alerta em 16 de outubro de seu fornecedor de inteligência sobre ameaças, da CERT-In, equipe nacional de resposta a emergências computacionais da Índia, e da Agência de Defesa Cibernética, órgão das Forças Armadas subordinado ao Ministério da Defesa.
O banco ativou seus procedimentos de resposta a incidentes e contenção e contratou uma empresa independente de cibersegurança credenciada pela CERT-In para realizar auditorias de segurança e avaliar o que o comunicado chama de “suposta violação”.
O comunicado afirma que o incidente não tem impacto significativo nas operações centrais, no desempenho financeiro ou na continuidade dos negócios do banco. Essa avaliação diz respeito às atividades da instituição, não aos clientes.
O comunicado não identifica nenhum invasor, fórum ou conjunto de dados. A estimativa de cerca de 375.000 registros coincide com uma alegação divulgada no X em 16 de outubro pela conta de monitoramento CyberPulse56.
A conta afirmou que um threat actor chamado Siriusim alegava ter vazado documentos de clientes e dados pessoais ligados ao SBI: 375.000 linhas em formato CSV e 2.722 documentos PDF. O material supostamente incluía informações pessoais, pedidos de empréstimo e documentos de apoio, formulários de abertura de conta e endereços.
O jornal Free Press Journal analisou o anúncio publicado no BreachForums, fórum de crimes cibernéticos usado para negociar dados roubados, e encontrou quatro registros de amostra. Os números de telefone incluídos eram válidos. A foto de perfil do WhatsApp associada a um dos números correspondia à foto no padrão de passaporte presente no documento de KYC da pessoa, também publicado pelo autor da alegação.
Essa verificação abrange apenas quatro registros e não comprova que todo o conjunto seja autêntico nem revela sua origem. As amostras eram, em sua maioria, relacionadas a empréstimos e continham campos de KYC. Elas não esclarecem se os dados pertenciam ao próprio SBI, a uma de suas subsidiárias ou a um fornecedor terceirizado responsável por processar pedidos bancários.
Nada no comunicado do banco relaciona a análise ao anúncio, e o SBI não informou se os 2.722 documentos PDF faziam parte do material examinado.
Ainda não se sabe se algum sistema do SBI foi invadido. O comunicado deixa a origem dos dados a cargo da investigação e não informa quando eles apareceram pela primeira vez.
O documento também não diz se os clientes afetados foram ou serão avisados. A página de segurança cibernética do banco, atualizada pela última vez em junho, orienta os clientes a comunicar incidentes cibernéticos pelo endereço [email protected] ou pela linha nacional de atendimento a crimes cibernéticos, no número 1930. Trata-se de uma recomendação geral, publicada antes do incidente.
O Bank of Baroda, outra instituição bancária estatal, informou às bolsas de valores em 27 de julho sobre um incidente de cibersegurança com termos quase idênticos, incluindo “suposta violação”. O banco disse ter recebido “uma comunicação de uma fonte anônima que alegava ter acesso a determinados dados”. O comunicado apresentou uma causa preliminar: possível comprometimento de e-mail corporativo. O documento do SBI não menciona uma causa.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...