Bank of Baroda: email compromesso ha esposto alcuni dati

In un comunicato su X, Bank of Baroda ha affermato che il caso è stato individuato rapidamente e che sono state adottate misure di contenimento immediate. Ha aggiunto che è partita un'indagine forense e che la banca sta collaborando con le autorità competenti nel rispetto dei requisiti normativi applicabili.

Cosa sostiene l'attore della minaccia

Post su un forum del dark web hanno sostenuto l'esistenza di quasi 1TB di dati che coprono registri bancari personali e aziendali, con campioni e link per il download condivisi. L'annuncio è comparso nella notte di sabato 25 luglio, ha riportato il Times of India. Un annuncio offriva una cache di oltre 700GB. India Today ha riferito che il materiale rivendicato comprende numeri Aadhaar, nomi, dettagli di conti di risparmio e correnti, documenti di prestito, dati utente NetBanking, registri di banking NRI e corporate, file dell'assistenza clienti e dati di filiali e ATM.

Republic World ha riportato che il repository esposto includeva fotografie di carte Aadhaar e che TripleX ha pubblicato i dati gratuitamente invece di chiedere un pagamento, dicendo di voler punire la banca per le password deboli. Il gruppo è stato osservato per la prima volta a maggio 2026 ed era già stato collegato a una presunta violazione da 2TB ai danni di Bank Negara Indonesia, circa il doppio del volume qui ipotizzato, secondo Hindustan Times.

Srikanth Lakshmanan, fondatore di CashlessConsumer, ha detto che la fuga è stata segnalata per la prima volta il 25 luglio da ransomware.live. Ha affermato di aver controllato documenti interni tra cui audit di filiale, carte di valutazione dei prestiti, comunicazioni interne, indagini di vigilanza e rapporti di audit bobWorld. Ha contestato la versione della banca. "La compromissione di un accesso email non può portare all'esfiltrazione di centinaia di gigabyte di dati", ha scritto su X, esortando l'istituto a pubblicare un rapporto dettagliato e ad avvisare i clienti coinvolti.

Bank of Baroda non ha confermato l'entità o la natura dei dati coinvolti, e l'autenticità dei file non è stata verificata in modo indipendente.

I conti dei clienti

Sudiptaa Paul Choudhury, chief marketing officer di QNu Labs, ha detto che quello ipotizzato è una violazione di dati, non dei sistemi bancari, e che nessuno parla di trasferimenti di fondi non autorizzati. Ha aggiunto che i depositi restano coperti dall'assicurazione DICGC fino a ₹5 lakh per banca per depositante. Lakshmanan ha detto che il sistema transazionale della banca non sembra essere coinvolto, mentre lo è la condivisione di file interna.

India Today ha riportato che il controllo tramite password monouso resta attivo, quindi i soli file trapelati non bastano a muovere denaro, e che i file visti finora sembravano contenere dettagli dei clienti e informazioni di audit, non password o PIN. Subir Sangal, amministratore delegato di Eagle Information Systems, ha consigliato ai clienti di cambiare le password, attivare l'autenticazione a più fattori dove disponibile e controllare l'attività del conto.

CashlessConsumer ha realizzato uno strumento di verifica per filiale che permette ai clienti di inserire un codice IFSC e vedere se la propria filiale è tra le 1.088 identificate come probabilmente esposte. Lakshmanan ha detto che la notifica individuale non è possibile, cosa che secondo lui la banca dovrebbe fare. Anirban Mukherji, amministratore delegato di miniOrange, ha detto che esistono servizi che permettono di verificare se un'email o un numero di telefono è comparso in violazioni note, e ha consigliato di rivedere estratti conto e report creditizi.

Il controllo delle autorità

India Today ha riportato che le autorità di regolamentazione dovrebbero esaminare come è avvenuto l'incidente e se la banca ha rispettato i requisiti di cybersicurezza. La Reserve Bank of India potrebbe verificare se l'istituto ha rispettato il proprio quadro di cybersicurezza e gestione del rischio, mentre CERT-In potrebbe esaminare se l'incidente è stato segnalato secondo la regola delle sei ore per la notifica delle violazioni.

Choudhury ha detto che il DPDP Act prevede sanzioni fino a ₹250 crore per misure di sicurezza inadeguate e fino a ₹200 crore per la mancata segnalazione di una violazione. Ha aggiunto che la Sezione 43A dell'Information Technology Act espone le aziende a richieste di risarcimento per la gestione negligente di dati personali sensibili. Il Data Protection Board è già operativo, ma il meccanismo sanzionatorio entra formalmente in funzione a novembre, ha detto.

Nessuna sanzione è automatica: saranno i risultati dell'indagine forense e la valutazione delle autorità a stabilire se un intervento sia giustificato, ha riportato India Today. Al momento dei resoconti, né CERT-In né la Reserve Bank of India avevano confermato pubblicamente la violazione.

Cosa succede ora

Bank of Baroda non ha indicato una tempistica per l'indagine forense, ha riportato Digit. La RBI può imporre controlli più severi o applicare sanzioni se vengono accertate violazioni, secondo India Today.