SBI assure aux clients identifiés dans la fuite du dark web que leurs fonds sont en sécurité

SBI affirme avoir contacté les clients identifiés

La State Bank of India a annoncé le 23 octobre 2026 avoir informé individuellement, par courriel et/ou WhatsApp, tous les clients dont les données ont été identifiées comme impliquées dans la fuite du dark web. Dans un communiqué publié sur X, la banque indique que les soldes des comptes et les fonds restent en sécurité. Elle conseille aux clients de ne pas partager leurs OTP, codes PIN ou mots de passe et de rester vigilants face aux appels, messages et courriels suspects. MorungExpress a rapporté le communiqué le 23 octobre, citant IANS.

Cette déclaration fait suite à une publication du 21 octobre de l'Internet Freedom Foundation. L'organisation affirmait que SBI avait informé le BSE et le National Stock Exchange de la violation, mais pas les clients dont les données avaient fuité. ETV Bharat a cité cette publication. TechObserver a noté que le dépôt réglementaire de SBI ne précisait pas si les clients concernés avaient été notifiés ou allaient l'être.

Le dépôt réglementaire fait état de 3 897 dossiers identifiés

Le dépôt réglementaire de SBI du 21 octobre 2026 indiquait qu'une analyse préliminaire d'environ 375 000 enregistrements trouvés sur le dark web avait permis d'identifier 3 897 dossiers clients contenant des informations personnelles identifiables. La banque a précisé que l'incident n'avait eu aucun impact significatif sur ses activités principales, sa performance financière ou la continuité de ses opérations. Selon elle, les fonctions essentielles ont continué de fonctionner normalement.

Le dépôt énumérait les catégories exposées : numéros de téléphone mobile enregistrés, dates de naissance, noms, sexe, adresses électroniques et adresses de résidence. Il mentionnait aussi des identifiants d'agence et de dossier client (CIF), des identifiants de prospects (lead IDs) et des métadonnées liées aux prêts et aux dossiers de prospects. Il ne listait ni mots de passe, ni codes PIN, ni mots de passe à usage unique, et ne signalait aucun fonds dérobé.

Un identifiant CIF est un numéro unique que les banques utilisent pour conserver la relation consolidée d'un client et les informations sur ses comptes, rapporte The Times of India. Les lead IDs servent généralement à identifier des clients potentiels ou des demandes dans les processus de vente et de prêt.

375 000 correspond aux enregistrements examinés, pas au nombre de victimes

Le chiffre de 375 000 correspond à la taille du jeu de données examiné par SBI, et non au nombre de clients. Les décomptes d'enregistrements peuvent inclure des entrées répétées et ne représentent pas nécessairement des personnes distinctes, selon CyberSecurityNews. SBI qualifie le chiffre de 3 897 de préliminaire. TechObserver rapporte que les dossiers identifiés représentent environ un sur 100 des enregistrements examinés. SBI n'a pas précisé si les 3 897 dossiers appartiennent à 3 897 personnes différentes, ni ce que contiennent les autres enregistrements, selon TechObserver et Arab Times.

Dans un avis public adressé aux clients, SBI a déclaré que l'incident avait touché « un nombre très, très restreint de clients » sans donner de chiffre, rapporte IBTimes.

Ce qui a été exposé et ce que cela implique

CyberSecurityNews rapporte que les détails d'agence et les références de prêts pourraient aider les fraudeurs à rendre crédibles de faux appels bancaires. Arab Times rapporte que cette exposition soulève des inquiétudes quant à l'usurpation d'identité, à l'imitation et à la fraude ciblée, en particulier si des criminels utilisent des informations authentiques pour se faire passer pour des responsables bancaires. Les numéros de compte, les soldes, les données de carte et les numéros d'identité officiels comme le PAN ou Aadhaar ne figurent pas parmi les catégories listées dans le dépôt réglementaire, selon TechObserver.

Le dépôt réglementaire n'identifiait ni point d'entrée, ni vulnérabilité exploitée, ni famille de logiciels malveillants, ni serveur compromis.

La réponse de SBI et les questions en suspens

SBI a indiqué avoir reçu le 16 octobre 2026 des alertes de son prestataire de veille sur les menaces, de la Defence Cyber Agency et de CERT-In concernant une exposition suspectée de données clients sur le dark web. La banque dit avoir activé ses protocoles de réponse et de confinement des incidents cyber et avoir fait appel à une agence de cybersécurité indépendante agréée par CERT-In. L'enquête doit établir l'authenticité et l'exhaustivité des données, en trouver la source et l'étendue, et évaluer les risques pour les clients et pour la banque. Des mesures correctives et préventives étaient en cours de mise en œuvre, et SBI a déclaré qu'elle continuerait de surveiller la situation et d'agir conformément aux exigences réglementaires applicables.

La Defence Cyber Agency est l'unité cyber des forces armées, rattachée au ministère de la Défense, rapporte TechObserver.

Le dépôt réglementaire ne nomme aucun attaquant, forum ou jeu de données. Avant ce dépôt, un acteur de la menace se faisant appeler Siriusim avait revendiqué la fuite de 375 000 lignes CSV et de 2 722 documents PDF prétendument liés à SBI, rapportait CyberPress le 16 octobre 2026. La revendication avait été signalée par le compte de surveillance CyberPulse56. Les conclusions divulguées par SBI n'attribuent pas l'incident à un attaquant nommé. La banque n'a pas établi comment les informations ont été obtenues ni si des attaquants ont pénétré ses systèmes bancaires centraux. Elle n'a pas précisé si les dossiers provenaient de SBI elle-même, d'une filiale ou d'un prestataire tiers, selon TechObserver. Le dépôt réglementaire laisse aussi la source des données à l'enquête et ne donne aucune date sur leur première apparition, selon TechObserver.

TechObserver rapporte que le Free Press Journal a examiné quatre dossiers échantillons sur BreachForums et trouvé des numéros de téléphone valides ; une photo de profil WhatsApp correspondait à une photographie de passeport figurant sur un document KYC publié avec l'annonce. Cette vérification portait sur quatre dossiers et n'a pas établi que l'ensemble du jeu de données était authentique ni d'où il provenait.

L'enquête est en cours.