SBI retrouve 3 897 dossiers clients sur le dark web après la revendication d'un pirate

La State Bank of India a informé les places boursières que les dossiers personnels de 3 897 de ses clients ont été retrouvés sur le dark web, au milieu d'un ensemble de fichiers bien plus vaste dont l'origine, selon la banque, n'est pas encore établie.

Dans un document daté du 21 octobre, le premier prêteur du pays déclare avoir "connu un incident impliquant la perte de certaines données". La banque indique qu'un examen préliminaire d'environ 375 000 dossiers circulant sur le dark web en a identifié 3 897 contenant des informations d'identification personnelle. Le décompte est préliminaire et la banque n'a pas encore confirmé que toutes les données sont authentiques.

Comment la banque l'a appris

Les premières alertes sont parvenues à SBI le 16 octobre, de trois sources à la fois : son fournisseur de renseignement sur les menaces, la Defence Cyber Agency et CERT-In, l'équipe nationale indienne de réponse aux urgences informatiques. À la même période, un acteur se faisant appeler Siriusim a affirmé sur le forum BreachForums détenir environ 375 000 dossiers de clients de SBI et 2 722 documents PDF, et a publié quatre dossiers échantillons. Le Free Press Journal a examiné les échantillons et constaté que les numéros de téléphone étaient réels. La plupart des données semblaient liées à des prêts, avec quelques entrées rattachées à des demandes de comptes d'épargne.

Ce que contenaient les dossiers

Le document énumère les numéros de mobile enregistrés, les dates de naissance, les noms, le sexe, les adresses électroniques et les adresses de domicile. Il énumère aussi les identifiants d'agence et de CIF, les identifiants de prospects et des métadonnées liées aux dossiers de prêts et de prospection. Le CIF est le numéro interne de dossier client de la banque. Le document ne range pas les numéros de compte, les soldes, les mots de passe, les données de carte ni les numéros d'identité officiels comme le PAN ou l'Aadhaar parmi les catégories exposées.

Ce mélange reste risqué. Un escroc qui détient le nom, le numéro de téléphone, la date de naissance, l'agence et l'identifiant interne d'un client a presque tout ce qu'il faut pour se faire passer pour la banque au téléphone.

La réponse

SBI dit avoir activé ses protocoles de réponse et de confinement des incidents cyber et engagé une agence indépendante de cybersécurité du panel de CERT-In pour vérifier l'authenticité des données, en retracer la source et mesurer le risque. La banque affirme que l'incident n'a pas d'impact matériel sur ses opérations centrales, ses finances ou la continuité de son activité. L'Internet Freedom Foundation a demandé à la banque d'écrire directement à chaque client concerné en précisant ce qui a été exposé. L'action SBI a peu varié lors de la séance de mercredi.