SBI versichert Kunden aus dem Darknet-Leck, ihr Geld sei sicher

SBI: identifizierte Kunden wurden kontaktiert

Die State Bank of India erklärte am 23. Oktober 2026, sie habe alle Kunden, deren Daten als vom Darknet-Leck betroffen eingestuft wurden, einzeln per E-Mail und/oder WhatsApp informiert. In einer auf X veröffentlichten Erklärung hieß es, Kontostände und Einlagen blieben sicher. Die Bank riet Kunden, keine OTPs, PINs oder Passwörter weiterzugeben und bei verdächtigen Anrufen, Nachrichten und E-Mails wachsam zu sein. MorungExpress berichtete am 23. Oktober über die Erklärung und berief sich auf IANS.

Der Erklärung vorausgegangen war ein Beitrag der Internet Freedom Foundation vom 21. Oktober. Darin hieß es, SBI habe die BSE und die National Stock Exchange über die Sicherheitspanne informiert, nicht aber die Kunden, deren Daten geleakt wurden. ETV Bharat zitierte den Beitrag. TechObserver merkte an, dass in der Börsenmeldung von SBI nicht stand, ob betroffene Kunden benachrichtigt worden waren oder noch informiert würden.

Börsenmeldung nennt 3.897 identifizierte Datensätze

In ihrer Börsenmeldung vom 21. Oktober 2026 teilte SBI mit, eine vorläufige Analyse von rund 375.000 im Darknet gefundenen Datensätzen habe 3.897 Kundendatensätze mit personenbezogenen Informationen identifiziert. Der Vorfall habe keine wesentlichen Auswirkungen auf das Kerngeschäft, die Finanzergebnisse oder die Betriebskontinuität gehabt, hieß es. Die Kernfunktionen liefen normal weiter.

Die Meldung listete die betroffenen Kategorien auf: registrierte Mobilfunknummern, Geburtsdaten, Namen, Geschlecht, E-Mail-Adressen und Wohnanschriften. Genannt wurden außerdem Filial- und Kundeninformationsdatei-Kennungen, Lead-IDs sowie Metadaten zu Kredit- und Lead-Datensätzen. Passwörter, PINs oder Einmalpasswörter standen nicht auf der Liste, und es wurde kein gestohlenes Geld gemeldet.

Eine CIF-Kennung ist laut The Times of India eine eindeutige Nummer, mit der Banken die zusammengefassten Beziehungs- und Kontodaten eines Kunden führen. Lead-IDs kennzeichnen in der Regel potenzielle Kunden oder Anträge in Vertriebs- und Kreditprozessen.

375.000 sind geprüfte Datensätze, keine Opferzahl

Die Zahl 375.000 bezeichnet die Größe des Datensatzes, den SBI geprüft hat, nicht die Zahl der Kunden. Datensatzzahlen können mehrfache Einträge enthalten und stehen nicht zwingend für einzelne Personen, berichtete CyberSecurityNews. SBI nannte die Zahl 3.897 vorläufig. TechObserver berichtete, die identifizierten Datensätze entsprächen etwa einem von 100 der untersuchten Einträge. Ob die 3.897 Datensätze zu 3.897 verschiedenen Personen gehören und was in den übrigen Datensätzen steht, hat SBI laut TechObserver und Arab Times nicht mitgeteilt.

In einer öffentlichen Kundenmitteilung schrieb SBI, der Vorfall habe "eine sehr, sehr kleine Zahl von Kunden" betroffen, ohne eine Zahl zu nennen, wie IBTimes berichtete.

Was offenlag und was das bedeutet

Laut CyberSecurityNews könnten Filialdaten und Kreditverweise Betrügern helfen, falsche Bankanrufe glaubwürdig klingen zu lassen. Arab Times berichtete, die Offenlegung wecke Bedenken wegen Identitätsmissbrauchs, Nachahmung und gezielter Betrugsfälle, besonders wenn Kriminelle echte Angaben nutzen, um sich als Bankmitarbeiter auszugeben. Kontonummern, Kontostände, Kartendaten und staatliche Identifikationsnummern wie PAN oder Aadhaar gehören nicht zu den in der Meldung aufgeführten Kategorien, berichtete TechObserver.

Die Meldung nannte weder einen Einstiegspunkt noch eine ausgenutzte Schwachstelle, eine Malware-Familie oder einen kompromittierten Server.

Reaktion von SBI und offene Fragen

SBI erklärte, sie habe am 16. Oktober 2026 Warnungen von ihrem Dienstleister für Threat Intelligence, von der Defence Cyber Agency und von CERT-In über eine vermutete Offenlegung von Kundendaten im Darknet erhalten. Sie habe Protokolle zur Reaktion auf Cybervorfälle und zur Eindämmung aktiviert und eine unabhängige, bei CERT-In gelistete Cybersecurity-Agentur eingeschaltet. Die Untersuchung soll klären, ob die Daten echt und vollständig sind, woher sie stammen und wie weit sie reichen; außerdem soll sie Risiken für Kunden und Bank bewerten. Korrektur- und Vorbeugemaßnahmen seien in Umsetzung, und SBI erklärte, die Lage weiter zu beobachten und im Rahmen der geltenden regulatorischen Vorgaben zu handeln.

Die Defence Cyber Agency ist laut TechObserver die Cybereinheit der Streitkräfte unter dem Verteidigungsministerium.

Die Meldung nennt keinen Angreifer, kein Forum und keinen Datensatz. Vor der Meldung behauptete ein Akteur namens Siriusim, 375.000 CSV-Zeilen und 2.722 PDF-Dokumente veröffentlicht zu haben, die angeblich mit SBI zusammenhingen, wie CyberPress am 16. Oktober 2026 berichtete. Der Beitrag wurde von dem Monitoring-Konto CyberPulse56 aufgegriffen. Die von SBI veröffentlichten Ergebnisse schreiben den Vorfall keinem namentlich genannten Angreifer zu. Die Bank hat nicht geklärt, wie die Informationen erlangt wurden oder ob Angreifer in ihre Kernbanksysteme eingedrungen sind. Ob die Datensätze von SBI selbst, von einer Tochtergesellschaft oder von einem externen Dienstleister stammen, hat sie laut TechObserver nicht mitgeteilt. Die Meldung überlässt auch die Herkunft der Daten der Untersuchung und nennt kein Datum, an dem sie erstmals auftauchten, so TechObserver.

TechObserver berichtete, die Free Press Journal habe vier Beispieldatensätze auf BreachForums geprüft und gültige Telefonnummern gefunden; ein WhatsApp-Profilbild habe zu einem Passfoto auf einem KYC-Dokument gepasst, das mit dem Angebot veröffentlicht wurde. Die Prüfung umfasste vier Datensätze und belegte weder, dass der gesamte Datensatz echt war, noch woher er stammte.

Die Untersuchung läuft.