Государственный банк Индии (State Bank of India, SBI) обнаружил 3897 записей клиентов с персональной информацией в наборе данных объемом около 375 000 записей, выставленном в даркнете. Банк пока не установил происхождение этих данных.
Крупнейший государственный банк Индии в сообщении для фондовой биржи от 21 октября указал, что «столкнулся с инцидентом, связанным с утечкой определенных данных». Количество записей предварительное, и банк еще не установил подлинность данных, масштаб утечки и связанные с ней риски для клиентов.
Согласно сообщению, в утекшую информацию «предположительно входили зарегистрированные номера мобильных телефонов клиентов, даты рождения, имена, пол, адреса электронной почты, почтовые адреса, идентификаторы филиала и CIF, идентификаторы лидов, а также метаданные, связанные с записями о кредитах/лидах и другими соответствующими файлами». Идентификатор CIF — это номер файла с информацией о клиенте, внутренний идентификатор банка для каждого клиента.
Банк не уточнил, принадлежат ли 3897 записей 3897 разным лицам, и что содержится в остальной части набора данных. Эти 3897 записей составляют примерно 1 из 100 проверенных банком.
В списке, приведенном в сообщении, отсутствуют номера счетов, балансы, пароли, одноразовые коды доступа, данные карт и государственные идентификационные номера, такие как PAN или Aadhaar. Риск, связанный с перечисленными категориями данных, заключается в возможности выдачи себя за другое лицо: злоумышленник может использовать имя клиента, номер мобильного телефона, дату рождения, адрес, филиал и внутренний идентификатор для совершения звонков или отправки сообщений, имитирующих сообщения от банка.
Уведомление поступило в банк 16 октября через его поставщика услуг по анализу угроз, CERT-In (индийскую национальную команду реагирования на компьютерные инциденты) и Агентство кибербезопасности Министерства обороны.
Банк активировал процедуры реагирования на инциденты и сдерживания, а также привлек независимую фирму по кибербезопасности из списка утвержденных аудиторов CERT-In для оценки того, что в сообщении названо «предполагаемым компромиссом».
Инцидент не оказал существенного влияния на основные операционные процессы банка, его финансовые показатели или непрерывность бизнеса, говорится в сообщении. Это касается деятельности банка, но не его клиентов.
В сообщении не указан злоумышленник, форум или набор данных. Цифра около 375 000 совпадает с заявлением, опубликованным 16 октября в X аккаунтом CyberPulse56.
Аккаунт сообщил, что злоумышленник под именем Siriusim заявил об утечке документов клиентов и персональных данных, связанных с SBI: 375 000 строк в формате CSV и 2722 PDF-документа, предположительно содержащих личную информацию, заявки на кредиты и подтверждающие документы, формы открытия счетов и адреса.
Издание The Free Press Journal изучило объявление на BreachForums, киберпреступном форуме, используемом для торговли украденными данными, и обнаружило 4 образца записей, опубликованных вместе с объявлением. Номера телефонов в образцах оказались действительными. Фотография в профиле *WhatsApp одного из номеров совпала с фотографией паспортного формата на документе KYC этого человека, который также был опубликован злоумышленником.
Эта проверка охватывает 4 записи и не доказывает подлинность всего набора данных или его происхождение. Образцы в основном касались кредитов и содержали поля KYC, и они не показали, принадлежали ли данные самому SBI, одной из его дочерних компаний или стороннему поставщику, обрабатывающему банковские заявки.
Ничто в сообщении банка не связывает его анализ с этим объявлением, и банк не сообщил, были ли 2722 PDF-документа частью того, что он исследовал.
Остается открытым вопрос, был ли взломан какой-либо из систем SBI. Источник данных оставлен на усмотрение расследования, и дата первого появления данных не указана.
В сообщении не упоминается, были ли затронутые клиенты уведомлены или будут ли уведомлены. На странице кибербезопасности банка, последний раз обновленной в июне, клиентам рекомендуется сообщать о любых киберинцидентах по адресу report.phishing@sbi.co.in или на национальную горячую линию по борьбе с киберпреступностью 1930. Это общие рекомендации, написанные до инцидента.
Bank of Baroda, другой государственный банк, 27 июля сообщил биржам об инциденте кибербезопасности почти теми же словами, включая «предполагаемый компромисс», после получения «сообщения от анонимного источника, претендующего на доступ к определенным данным». В том сообщении была указана предварительная причина: «потенциальный компромисс деловой электронной почты». SBI не называет никаких причин.
*Facebook, *Instagram и *WhatsApp принадлежат компании *Meta Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
