SBI zapewnia klientów zidentyfikowanych w wycieku z dark webu, że ich pieniądze są bezpieczne

SBI twierdzi, że skontaktowało się ze zidentyfikowanymi klientami

State Bank of India podał 23 października 2026 r., że indywidualnie poinformował wszystkich klientów, których dane zidentyfikowano jako objęte wyciekiem do dark webu, przez e-mail lub WhatsApp. W oświadczeniu opublikowanym na X bank stwierdził, że salda kont i środki klientów pozostają bezpieczne. Zaapelował, by nie udostępniać kodów OTP, PIN-ów ani haseł i zachować czujność wobec podejrzanych telefonów, wiadomości i maili. MorungExpress podał treść oświadczenia 23 października, powołując się na IANS.

Oświadczenie pojawiło się po wpisie Internet Freedom Foundation z 21 października. Organizacja napisała w nim, że SBI poinformował BSE i National Stock Exchange o włamaniu, ale nie powiadomił klientów, których dane wyciekły. ETV Bharat zacytował ten wpis. TechObserver zauważył, że raport giełdowy SBI nie mówił, czy dotknięci klienci zostali powiadomieni ani czy zostaną.

Raport giełdowy podał 3 897 zidentyfikowanych rekordów

Raport giełdowy SBI z 21 października 2026 r. podał, że wstępna analiza około 375 000 rekordów w dark webie zidentyfikowała 3 897 rekordów klientów zawierających dane umożliwiające identyfikację osoby. Bank stwierdził, że incydent nie miał istotnego wpływu na podstawową działalność, wyniki finansowe ani ciągłość działania. Kluczowe funkcje działały normalnie.

Raport wymienił ujawnione kategorie danych: zarejestrowane numery telefonów komórkowych, daty urodzenia, imiona i nazwiska, płeć, adresy e-mail i adresy zamieszkania. Wskazał też identyfikatory oddziałów i plików informacji o kliencie (CIF), identyfikatory leadów oraz metadane powiązane z rekordami kredytowymi i leadami. Nie wymienił haseł, PIN-ów ani jednorazowych kodów, nie odnotował również skradzionych środków.

Identyfikator CIF to unikalny numer, którym banki łączą informacje o relacji z klientem i jego kontach, podał The Times of India. Identyfikatory leadów zwykle oznaczają potencjalnych klientów lub wnioski w procesach sprzedaży i kredytowych.

375 000 to liczba przejrzanych rekordów, nie liczba poszkodowanych

Liczba 375 000 to rozmiar zbioru danych, który SBI przejrzał, a nie liczba klientów. Zestawy rekordów mogą zawierać powtórzone wpisy i nie muszą oznaczać osobnych osób, podał CyberSecurityNews. SBI nazwał liczbę 3 897 wstępną. TechObserver podał, że zidentyfikowane rekordy to mniej więcej jeden na 100 przejrzanych. SBI nie podało, czy 3 897 rekordów należy do 3 897 różnych osób ani co zawierają pozostałe rekordy, wynika z relacji TechObservera i Arab Times.

W publicznym komunikacie do klientów SBI napisało, że incydent dotknął „bardzo, bardzo niewielu klientów”, nie podając liczby, podał IBTimes.

Co wyciekło i co to oznacza

CyberSecurityNews podał, że dane o oddziale i odwołania do kredytów mogą pomóc oszustom, by fałszywe telefony „z banku” brzmiały wiarygodnie. Arab Times podał, że wyciek budzi obawy o wykorzystanie tożsamości, podszywanie się i oszustwa celowane, zwłaszcza gdy przestępcy używają prawdziwych danych, by udawać pracowników banku. Numery kont, salda, dane kart i numery dokumentów rządowych, takie jak PAN czy Aadhaar, nie należą do kategorii wymienionych w raporcie, podał TechObserver.

Raport nie wskazał punktu wejścia, wykorzystanej podatności, rodziny złośliwego oprogramowania ani przejętego serwera.

Reakcja SBI i otwarte pytania

SBI podało, że 16 października 2026 r. otrzymało ostrzeżenia od dostawcy usług wywiadu zagrożeń, Defence Cyber Agency i CERT-In o podejrzanym ujawnieniu danych klientów w dark webie. Bank uruchomił procedury reagowania na incydenty cybernetyczne i ograniczania skutków oraz zaangażował niezależną agencję cyberbezpieczeństwa z listy CERT-In. Śledztwo ma ustalić autentyczność i kompletność danych, znaleźć ich źródło i zakres oraz ocenić ryzyko dla klientów i banku. Bank wdrażał środki naprawcze i zapobiegawcze, a SBI zapowiedziało dalsze monitorowanie sytuacji i działania zgodnie z wymogami regulatorów.

Defence Cyber Agency to jednostka cybernetyczna sił zbrojnych podległa Ministerstwu Obrony, podał TechObserver.

Raport nie wskazuje sprawcy, forum ani zbioru danych. Przed jego publikacją osoba używająca pseudonimu Siriusim twierdziła, że ujawniła 375 000 wierszy CSV i 2 722 dokumenty PDF rzekomo powiązane z SBI, podał CyberPress 16 października 2026 r. Na to twierdzenie zwróciło uwagę konto monitorujące CyberPulse56. Ustalenia SBI nie przypisują incydentu konkretnemu sprawcy. Bank nie ustalił, jak pozyskano informacje ani czy napastnicy włamali się do jego systemów bankowości podstawowej. Nie podało też, czy rekordy pochodzą z samego SBI, spółki zależnej czy zewnętrznego przetwarzającego dane, podał TechObserver. Raport zostawia ustalenie źródła danych śledztwu i nie podaje daty ich pierwszego pojawienia się, podał TechObserver.

TechObserver podał, że Free Press Journal sprawdził cztery przykładowe rekordy na BreachForums i znalazł działające numery telefonów. Jedno zdjęcie profilowe z WhatsApp odpowiadało zdjęciu paszportowemu z dokumentu KYC dołączonego do ogłoszenia. Kontrola objęła cztery rekordy i nie dowiodła, że cały zbiór jest autentyczny ani skąd pochodzi.

Śledztwo trwa.