Przejęte konto e-mail pracownika Bank of Baroda odsłoniło określone dane

Bank of Baroda napisał w oświadczeniu na X, że sprawę wykryto szybko i natychmiast wdrożono środki ograniczające. Bank podał, że rozpoczął dochodzenie kryminalistyczne i współpracuje z właściwymi organami zgodnie z obowiązującymi wymogami regulacyjnymi.

Co twierdzi sprawca ataku

Wpisy na forum dark webu mówiły o blisko 1TB danych obejmujących prywatne i firmowe dane bankowe, a wraz z nimi udostępniono próbki i linki do pobrania. Oferta pojawiła się w nocy w sobotę 25 lipca, podał Times of India. Jedna z reklam oferowała zbiór ponad 700GB. India Today podał, że rzekomy materiał zawiera numery Aadhaar, nazwiska, dane rachunków oszczędnościowych i bieżących, dokumenty kredytowe, dane użytkowników NetBanking, dane bankowości korporacyjnej i klientów NRI, pliki obsługi klienta oraz dane oddziałów i bankomatów.

Republic World podał, że ujawnione repozytorium zawierało zdjęcia kart Aadhaar, a grupa TripleX opublikowała dane za darmo, zamiast żądać zapłaty, twierdząc, że chce ukarać bank za słabe hasła. Grupę po raz pierwszy zaobserwowano w maju 2026 r., a wcześniej łączono ją z rzekomym wyciekiem 2TB w Bank Negara Indonesia, około dwukrotnie większym niż ten, o którym mowa, podał Hindustan Times.

Srikanth Lakshmanan, założyciel CashlessConsumer, powiedział, że wyciek po raz pierwszy odnotował 25 lipca serwis ransomware.live. Sprawdził dokumenty wewnętrzne, w tym audyty oddziałów, papiery oceny kredytowej, komunikację wewnętrzną, dochodzenia działu czujności (vigilance) i raporty z audytu bobWorld. Zakwestionował wersję banku. „Przejęcie dostępu do poczty nie może prowadzić do wycieku kilkuset gigabajtów danych”, napisał na X, wzywając bank do opublikowania szczegółowego raportu i ostrzeżenia klientów.

Bank of Baroda nie potwierdził zakresu ani charakteru danych, a autentyczności plików nie zweryfikowano niezależnie.

Rachunki klientów

Sudiptaa Paul Choudhury, dyrektor ds. marketingu w QNu Labs, powiedziała, że to, co się zarzuca, to wyciek danych, a nie włamanie do systemów bankowych, i że nikt nie zgłasza nieuprawnionych przelewów. Depozyty nadal obejmuje ubezpieczenie DICGC do 5 lakh rupii na bank i na deponenta, dodała. Lakshmanan powiedział, że system transakcyjny banku nie wygląda na dotknięty, natomiast wewnętrzne udostępnianie plików tak.

India Today podał, że weryfikacja hasła jednorazowego nadal działa, więc same wyciekłe pliki nie pozwolą ruszyć środków, a pliki ujawnione do tej pory, jak się wydaje, zawierały dane klientów i informacje audytowe, a nie hasła ani PIN-y. Subir Sangal, prezes Eagle Information Systems, doradził klientom zmianę haseł, włączenie uwierzytelniania wieloskładnikowego, gdzie jest dostępne, i obserwowanie aktywności na koncie.

CashlessConsumer zbudował narzędzie, w którym klient wpisuje kod IFSC i sprawdza, czy jego oddział jest wśród 1 088 uznanych za prawdopodobnie ujawnione. Lakshmanan powiedział, że indywidualne powiadomienie nie jest możliwe, a jego zdaniem bank powinien je wysłać. Anirban Mukherji, prezes miniOrange, powiedział, że istnieją serwisy pozwalające sprawdzić, czy adres e-mail lub numer telefonu pojawił się w znanych wyciekach, i doradził przegląd wyciągów bankowych oraz raportów kredytowych.

Nadzór regulatorów

India Today podał, że regulatorzy mają sprawdzić, jak doszło do incydentu i czy bank spełnił wymogi cyberbezpieczeństwa. Reserve Bank of India może zbadać, czy bank spełnił swoje ramy cyberbezpieczeństwa i zarządzania ryzykiem, a CERT-In może sprawdzić, czy incydent zgłoszono zgodnie z jego zasadą zgłaszania wycieków w ciągu sześciu godzin.

Choudhury powiedziała, że ustawa DPDP pozwala nakładać kary do 250 crore rupii za niewystarczające zabezpieczenia i do 200 crore rupii za niezgłoszenie wycieku. Artykuł 43A ustawy o technologii informacyjnej naraża firmy na roszczenia odszkodowawcze za niedbałe obchodzenie się z wrażliwymi danymi osobowymi, dodała. Rada Ochrony Danych już działa, ale mechanizm kar startuje formalnie w listopadzie.

Żadna kara nie jest automatyczna: o tym, czy działanie jest uzasadnione, zdecydują wyniki dochodzenia kryminalistycznego i ocena regulatorów, podał India Today. W momencie publikacji tych doniesień ani CERT-In, ani Reserve Bank of India nie potwierdziły publicznie wycieku.

Co dalej

Bank of Baroda nie podał harmonogramu dochodzenia kryminalistycznego, poinformował Digit. RBI może nakazać surowsze kontrole lub nałożyć kary, jeśli naruszenia zostaną stwierdzone, podał India Today.