Bank of Baroda : un compte e-mail compromis a exposé certaines données

Dans un communiqué publié sur X, Bank of Baroda affirme avoir identifié le problème rapidement et pris aussitôt des mesures de confinement. La banque dit avoir lancé une enquête forensique et collaborer avec les autorités compétentes, conformément aux exigences réglementaires en vigueur.

Ce que revendique l'acteur de la menace

Sur un forum du dark web, des publications faisaient état de près de 1TB de données, mêlant dossiers bancaires personnels et d'entreprise, avec des échantillons et des liens de téléchargement. L'annonce est apparue dans la nuit du samedi 25 juillet, rapporte le Times of India. Une publicité proposait un cache de plus de 700GB. Selon India Today, les éléments revendiqués comprennent des numéros Aadhaar, des noms, des références de comptes d'épargne et courants, des documents de prêt, des identifiants NetBanking, des dossiers de banque NRI et d'entreprise, des fichiers de support client, ainsi que des données d'agences et de distributeurs automatiques.

Republic World rapporte que le dépôt exposé contenait des photographies de cartes Aadhaar. TripleX a publié les données gratuitement, sans demander de paiement, en affirmant vouloir punir la banque pour ses mots de passe faibles. Le groupe a été observé pour la première fois en mai 2026 et avait déjà été lié à une violation revendiquée de 2TB chez Bank Negara Indonesia, soit environ le double du volume allégué ici, selon le Hindustan Times.

Srikanth Lakshmanan, fondateur de CashlessConsumer, indique que la fuite a été signalée pour la première fois le 25 juillet par ransomware.live. Il dit avoir examiné des documents internes : audits d'agences, dossiers d'évaluation de prêts, communications internes, enquêtes de vigilance et rapports d'audit bobWorld. Il conteste la version de la banque. « Une compromission d'accès e-mail ne peut pas entraîner l'exfiltration de plusieurs centaines de gigaoctets de données », a-t-il écrit sur X, appelant le prêteur à publier un rapport détaillé et à alerter les clients concernés.

Bank of Baroda n'a confirmé ni l'ampleur ni la nature des données concernées. L'authenticité des fichiers n'a pas été vérifiée de manière indépendante.

Les comptes clients

Sudiptaa Paul Choudhury, directrice marketing de QNu Labs, souligne qu'il s'agit d'une violation de données, pas d'une violation des systèmes bancaires, et que personne ne signale de virements non autorisés. Les dépôts restent couverts par l'assurance DICGC, à hauteur de ₹5 lakh par banque et par déposant, précise-t-elle. Lakshmanan estime que le système transactionnel de la banque ne semble pas touché, contrairement à son partage de fichiers interne.

India Today rapporte que la vérification par mot de passe à usage unique reste en place : les fichiers divulgués ne suffisent donc pas à déplacer des fonds. Les fichiers vus jusqu'ici semblaient contenir des coordonnées clients et des informations d'audit, pas des mots de passe ni des codes PIN. Subir Sangal, directeur général d'Eagle Information Systems, conseille aux clients de changer leurs mots de passe, d'activer l'authentification multifacteur lorsqu'elle est disponible et de surveiller l'activité de leur compte.

CashlessConsumer a créé un vérificateur d'agences : les clients y saisissent un code IFSC pour voir si leur agence figure parmi les 1 088 identifiées comme probablement exposées. Lakshmanan affirme qu'une notification individuelle n'est pas possible, ce que la banque devrait selon lui faire. Anirban Mukherji, directeur général de miniOrange, indique que des services permettent de vérifier si un e-mail ou un numéro de téléphone apparaît dans des violations connues, et conseille de revoir ses relevés bancaires et ses rapports de crédit.

Surveillance réglementaire

India Today rapporte que les régulateurs devraient examiner comment l'incident s'est produit et si la banque a respecté les exigences de cybersécurité. La Reserve Bank of India pourrait vérifier si le prêteur a satisfait à son cadre de cybersécurité et de gestion des risques. CERT-In pourrait de son côté examiner si l'incident a été signalé en vertu de sa règle de déclaration des violations sous six heures.

Choudhury rappelle que la loi DPDP prévoit des amendes pouvant atteindre ₹250 crore pour des garanties de sécurité insuffisantes et jusqu'à ₹200 crore pour défaut de déclaration d'une violation. L'article 43A de la loi sur les technologies de l'information expose les entreprises à des demandes d'indemnisation en cas de gestion négligente de données personnelles sensibles, ajoute-t-elle. Le Data Protection Board est déjà opérationnel, mais le mécanisme de sanctions n'entre formellement en vigueur qu'en novembre, précise-t-elle.

Aucune sanction n'est automatique : les conclusions forensiques et l'évaluation des régulateurs décideront si une action est justifiée, rapporte India Today. Au moment des rapports, ni CERT-In ni la Reserve Bank of India n'avaient publiquement confirmé la violation.

Ce qui se passe ensuite

Bank of Baroda n'a pas donné de calendrier pour son enquête forensique, rapporte Digit. La RBI peut imposer des contrôles plus stricts ou infliger des sanctions si des infractions sont établies, selon India Today.