巴罗达银行称员工邮箱被攻破，部分数据外泄

巴罗达银行在X上发布声明称，事件被及时发现，并立即采取了遏制措施。该行表示已启动取证调查，正在按照适用的监管要求与相关部门合作。

威胁行为者声称了什么

暗网论坛上的帖子声称掌握接近1TB的数据，涵盖个人和企业银行记录，并附有样本和下载链接。《印度时报》报道，该帖文出现在7月25日星期六夜间。其中一则广告提供超过700GB的数据包。《今日印度》报道，所称材料包括Aadhaar号码、姓名、储蓄账户和活期账户信息、贷款文件、网上银行用户信息、NRI和企业银行记录、客户支持文件，以及分行和ATM数据。

Republic World报道，被泄露的资料库包含Aadhaar卡照片。TripleX没有索要赎金，而是免费公开这些数据，称其目的是因密码薄弱而惩罚该银行。据《印度斯坦时报》报道，该组织最早于2026年5月被发现，此前曾与印度尼西亚国家银行声称的2TB泄露事件有关联，其规模约为本次所称数据量的两倍。

CashlessConsumer创始人Srikanth Lakshmanan表示，此次泄露最早于7月25日由ransomware.live标记。他说自己查看了内部文件，包括分行审计、贷款评估文件、内部通信、监察调查和bobWorld审计报告。他对银行的说法提出质疑。他在X上写道：“邮箱访问被攻破不可能导致数百GB数据被窃取。”他敦促该银行发布详细报告并通知受影响的客户。

巴罗达银行尚未确认所涉数据的范围和性质，这些文件的真实性也未得到独立核实。

客户账户

QNu Labs首席营销官Sudiptaa Paul Choudhury表示，所称事件是数据泄露，而不是银行系统被攻破，也没有人报告出现未经授权的资金转移。她说，存款仍受DICGC保险保障，每位存款人在每家银行的保额最高为₹5 lakh。Lakshmanan表示，该行的交易系统似乎未受影响，受影响的是其内部文件共享。

《今日印度》报道，一次性密码验证仍然有效，因此仅凭泄露的文件无法转移资金。目前看到的文件似乎包含客户详细信息和审计信息，而不是密码或PIN。Eagle Information Systems首席执行官Subir Sangal建议客户修改密码，在可用的情况下开启多因素认证，并留意账户活动。

CashlessConsumer开发了一个分行查询工具，客户输入IFSC代码即可查看自己的分行是否在被认为可能泄露的1088家分行之列。Lakshmanan表示无法逐一通知，他认为银行应当这样做。miniOrange首席执行官Anirban Mukherji表示，有些服务可以让人们查询某个邮箱或电话号码是否出现在已知泄露事件中，他建议核对银行对账单和信用报告。

监管审查

《今日印度》报道，监管机构预计将调查事件如何发生，以及该行是否遵守了网络安全要求。印度储备银行可能审查该行是否达到其网络安全和风险管理框架的要求，CERT-In则可能调查该事件是否按照其六小时泄露报告规则进行了上报。

Choudhury表示，《DPDP法案》规定，安全防护措施不足最高可罚款₹250 crore，未报告泄露事件最高可罚款₹200 crore。她说，《信息技术法》第43A条使公司在因疏忽处理敏感个人数据时面临赔偿要求。她说，数据保护委员会已经开始运作，但处罚机制要到11月才正式启用。

处罚并非自动生效。《今日印度》报道，取证结果和监管机构的评估将决定是否有必要采取行动。截至相关报道发布时，CERT-In和印度储备银行均未公开确认此次泄露。

接下来会发生什么

据Digit报道，巴罗达银行尚未给出取证调查的时间表。据《今日印度》报道，如果违规行为得到确认，印度储备银行可以要求采取更严格的管控措施或实施处罚。