SBI ai clienti identificati nella fuga di dati dal dark web: i fondi sono al sicuro

SBI: i clienti identificati sono stati contattati

State Bank of India ha dichiarato il 23 ottobre 2026 di aver informato singolarmente tutti i clienti i cui dati sono stati individuati come coinvolti nella fuga di dati dal dark web, tramite email e/o WhatsApp. In una dichiarazione pubblicata su X, la banca ha affermato che i saldi dei conti e i fondi restano al sicuro. Ha consigliato ai clienti di non condividere OTP, PIN o password e di prestare attenzione a chiamate, messaggi ed email sospette. MorungExpress ha riportato la dichiarazione il 23 ottobre, citando IANS.

La dichiarazione è arrivata dopo un post del 21 ottobre della Internet Freedom Foundation, secondo cui SBI aveva comunicato la violazione alla BSE e al National Stock Exchange ma non ai clienti i cui dati erano stati divulgati. ETV Bharat ha citato il post. TechObserver ha osservato che la comunicazione di SBI alle borse non indicava se i clienti colpiti fossero stati avvisati o lo sarebbero stati.

La comunicazione indica 3.897 record identificati

Nella comunicazione alle borse del 21 ottobre 2026, SBI ha affermato che un'analisi preliminare di circa 375.000 record presenti sul dark web ha individuato 3.897 record di clienti contenenti informazioni di identificazione personale. La banca ha dichiarato che l'incidente non ha avuto un impatto rilevante sulle operazioni principali, sui risultati finanziari o sulla continuità operativa. Ha aggiunto che le funzioni principali hanno continuato a operare normalmente.

La comunicazione elencava le categorie esposte: numeri di cellulare registrati, date di nascita, nomi, sesso, indirizzi email e indirizzi di residenza. Indicava anche identificativi di filiale e del customer information file, lead ID e metadati legati a record di prestiti e lead. Non elencava password, PIN o one-time password e non segnalava fondi rubati.

Un identificativo CIF è un numero univoco che le banche usano per tenere insieme le informazioni sul rapporto complessivo e sui conti di un cliente, ha riportato The Times of India. I lead ID di norma identificano potenziali clienti o richieste nei processi di vendita e di credito.

375.000 è il numero di record esaminati, non di vittime

La cifra di 375.000 corrisponde alla dimensione del dataset esaminato da SBI, non a un conteggio dei clienti. I conteggi dei record possono includere voci ripetute e non rappresentano necessariamente persone diverse, ha riportato CyberSecurityNews. SBI ha definito preliminare la cifra di 3.897. TechObserver ha riportato che i record identificati rappresentano circa uno su 100 dei record esaminati. SBI non ha precisato se i 3.897 record appartengano a 3.897 persone diverse, né cosa contengano gli altri record, secondo TechObserver e Arab Times.

In un avviso pubblico ai clienti, SBI ha affermato che l'incidente ha riguardato "un numero molto, molto esiguo di clienti" senza fornire una cifra, ha riportato IBTimes.

Cosa è stato esposto e cosa significa

CyberSecurityNews ha riportato che i dettagli sulle filiali e i riferimenti ai prestiti potrebbero aiutare i truffatori a rendere credibili finte chiamate bancarie. Arab Times ha riportato che l'esposizione solleva preoccupazioni per l'uso improprio dell'identità, l'impersonificazione e le frodi mirate, soprattutto se i criminali usano dati autentici per fingersi funzionari della banca. Numeri di conto, saldi, dati delle carte e numeri di identità governativi come PAN o Aadhaar non figurano tra le categorie elencate nella comunicazione, ha riportato TechObserver.

La comunicazione non ha identificato un punto di ingresso, una vulnerabilità sfruttata, una famiglia di malware o un server compromesso.

La risposta di SBI e le domande aperte

SBI ha dichiarato di aver ricevuto il 16 ottobre 2026 segnalazioni dal proprio fornitore di servizi di threat intelligence, dalla Defence Cyber Agency e da CERT-In su una presunta esposizione di dati dei clienti sul dark web. Ha affermato di aver attivato le procedure di risposta e contenimento degli incidenti informatici e di essersi affidata a un'agenzia indipendente di cybersicurezza iscritta all'albo di CERT-In. L'indagine serve a stabilire l'autenticità e la completezza dei dati, a individuarne l'origine e l'estensione e a valutare i rischi per i clienti e per la banca. Erano in corso misure correttive e preventive, e SBI ha dichiarato che avrebbe continuato a monitorare la situazione e ad agire secondo i requisiti normativi applicabili.

La Defence Cyber Agency è l'unità informatica delle forze armate sotto il Ministero della Difesa, ha riportato TechObserver.

La comunicazione non nomina alcun attaccante, forum o dataset. Prima della comunicazione, un attore di minaccia con il nome Siriusim ha sostenuto di aver divulgato 375.000 righe CSV e 2.722 documenti PDF presumibilmente collegati a SBI, ha riportato CyberPress il 16 ottobre 2026. La rivendicazione è stata segnalata dall'account di monitoraggio CyberPulse56. I risultati divulgati da SBI non attribuiscono l'incidente a un attaccante identificato. La banca non ha stabilito come siano state ottenute le informazioni né se gli attaccanti abbiano violato i suoi sistemi bancari centrali. Non ha precisato se i record provengano da SBI stessa, da una controllata o da un fornitore terzo, ha riportato TechObserver. La comunicazione lascia inoltre all'indagine l'origine dei dati e non indica una data in cui sarebbero comparsi per la prima volta, secondo TechObserver.

TechObserver ha riportato che il Free Press Journal ha esaminato quattro record campione su BreachForums e ha trovato numeri di telefono validi; la foto profilo di un account WhatsApp corrispondeva a una fotografia del passaporto presente in un documento KYC pubblicato con l'annuncio. La verifica ha riguardato quattro record e non ha stabilito che l'intero dataset fosse autentico né da dove provenga.

L'indagine è in corso.