Bank of Baroda: Kompromittiertes Mitarbeiterkonto gab Daten preis

Die Bank of Baroda teilte in einer Erklärung auf X mit, der Vorfall sei umgehend erkannt und sofortige Gegenmaßnahmen eingeleitet worden. Eine forensische Untersuchung laufe. Das Institut arbeite nach den geltenden regulatorischen Vorgaben mit den zuständigen Behörden zusammen.

Was der Angreifer behauptet

In einem Darknet-Forum behaupteten Posts, es seien knapp 1TB an Daten zu privaten und geschäftlichen Bankkonten betroffen, samt Proben und Download-Links. Das Angebot erschien in der Nacht zum Samstag, 25. Juli, berichtete die Times of India. Eine Anzeige bot einen Datenbestand von mehr als 700GB an. India Today meldete, das angeblich enthaltene Material umfasse Aadhaar-Nummern, Namen, Angaben zu Spar- und Girokonten, Kreditunterlagen, NetBanking-Nutzerdaten, NRI- und Firmenkundendaten, Kundensupport-Dateien sowie Filial- und ATM-Daten.

Republic World berichtete, das veröffentlichte Repository enthalte auch Fotos von Aadhaar-Karten. TripleX habe die Daten kostenlos veröffentlicht statt Geld zu verlangen, um die Bank für schwache Passwörter zu bestrafen. Die Gruppe sei erstmals im Mai 2026 beobachtet worden und zuvor mit einem behaupteten 2TB-Leak bei der Bank Negara Indonesia in Verbindung gebracht worden, etwa doppelt so viel wie hier angegeben, so die Hindustan Times.

Srikanth Lakshmanan, Gründer von CashlessConsumer, sagte, das Leck sei am 25. Juli erstmals von ransomware.live gemeldet worden. Er habe interne Dokumente geprüft, darunter Filialprüfungen, Kreditbewertungsunterlagen, interne Kommunikation, Ermittlungen der Vigilanz und Prüfberichte zu bobWorld. Er widersprach der Darstellung der Bank. "Ein kompromittierter E-Mail-Zugang kann keine Ausleitung von mehreren hundert Gigabyte Daten bewirken", schrieb er auf X. Er forderte das Institut auf, einen ausführlichen Bericht zu veröffentlichen und betroffene Kunden zu benachrichtigen.

Die Bank of Baroda hat den Umfang und die Art der betroffenen Daten nicht bestätigt. Die Echtheit der Dateien wurde nicht unabhängig überprüft.

Kundenkonten

Sudiptaa Paul Choudhury, Chief Marketing Officer bei QNu Labs, sagte, es gehe um einen Datenzugriff und nicht um einen Angriff auf die Banksysteme. Niemand berichte über unbefugte Geldtransfers. Einlagen seien weiterhin durch die DICGC-Versicherung von bis zu ₹5 lakh je Bank und Einleger abgesichert. Lakshmanan sagte, das Transaktionssystem der Bank scheine nicht betroffen zu sein, wohl aber die interne Dateifreigabe.

India Today berichtete, die Prüfung per Einmalpasswort sei weiterhin aktiv. Die geleakten Dateien allein könnten daher keine Gelder bewegen. Die bislang gesichteten Dateien enthielten offenbar Kundendaten und Prüfinformationen, aber keine Passwörter oder PINs. Subir Sangal, Geschäftsführer von Eagle Information Systems, riet Kunden, Passwörter zu ändern, wo verfügbar die Mehrfaktor-Authentifizierung zu aktivieren und die Kontobewegungen im Blick zu behalten.

CashlessConsumer baute einen Filial-Checker, mit dem Kunden einen IFSC-Code eingeben können. So sehen sie, ob ihre Filiale unter den 1.088 als wahrscheinlich betroffen eingestuften ist. Lakshmanan sagte, eine individuelle Benachrichtigung sei nicht möglich, was die Bank seiner Meinung nach tun sollte. Anirban Mukherji, Geschäftsführer von miniOrange, sagte, Dienste erlaubten es, zu prüfen, ob eine E-Mail-Adresse oder Telefonnummer in bekannten Leaks auftauche. Er riet, Kontoauszüge und Kreditberichte zu prüfen.

Regulatorische Prüfung

India Today berichtete, die Aufsichtsbehörden dürften untersuchen, wie es zu dem Vorfall kam und ob die Bank die Cybersicherheitsvorgaben eingehalten hat. Die Reserve Bank of India könnte prüfen, ob das Institut seinen Rahmen für Cybersicherheit und Risikomanagement erfüllt hat. CERT-In könnte untersuchen, ob der Vorfall nach seiner Meldepflicht binnen sechs Stunden gemeldet wurde.

Choudhury sagte, der DPDP Act sehe Strafen von bis zu ₹250 crore für unzureichende Sicherheitsvorkehrungen und bis zu ₹200 crore für die unterlassene Meldung eines Vorfalls vor. Paragraph 43A des Information Technology Act setze Unternehmen Schadensersatzansprüchen wegen fahrlässigen Umgangs mit sensiblen personenbezogenen Daten aus. Der Data Protection Board arbeite bereits, die Strafmechanik greife aber formal erst im November, sagte sie.

Keine Strafe erfolgt automatisch: Die forensischen Ergebnisse und die Bewertung der Aufsichtsbehörden entscheiden, ob Maßnahmen gerechtfertigt sind, berichtete India Today. Zum Zeitpunkt der Berichte hatten weder CERT-In noch die Reserve Bank of India den Vorfall öffentlich bestätigt.

Wie es weitergeht

Die Bank of Baroda hat keinen Zeitplan für ihre forensische Untersuchung genannt, meldete Digit. Die RBI kann strengere Kontrollen anordnen oder Strafen verhängen, falls Verstöße festgestellt werden, so India Today.