O State Bank of India (SBI) identificou 3.897 registros de clientes com informações pessoais em um conjunto de cerca de 375.000 registros disponíveis na dark web, e ainda não sabe de onde os dados vieram.
O banco estatal, o maior da Índia, afirmou em um comunicado enviado à bolsa de valores, datado de 21 de outubro, que “sofreu um incidente envolvendo a perda de determinados dados”. A contagem é preliminar, e o banco ainda não determinou se os dados são autênticos, até onde vai a exposição e quais riscos ela representa para os clientes.
De acordo com o comunicado, as informações expostas “teriam incluído” números de celular cadastrados, datas de nascimento, nomes, gênero, endereços de e-mail, endereços residenciais, identificadores de agência e CIF (sigla de Customer Information File, arquivo de informações do cliente), IDs de leads (potenciais clientes) e metadados associados a registros de empréstimos e leads, além de outros arquivos relacionados. Na prática, o CIF é o número interno que o banco atribui a cada cliente.
O banco não informou se os 3.897 registros pertencem a 3.897 pessoas diferentes, nem o que contém o restante do conjunto. Os 3.897 correspondem a cerca de 1 em cada 100 registros examinados pelo banco.
Números de contas, saldos, senhas, senhas de uso único, dados de cartões e números de identidade governamental, como PAN (Permanent Account Number, número de identificação fiscal) ou Aadhaar (sistema nacional de identidade biométrica), não estão entre as categorias listadas no comunicado. O risco nas categorias listadas é a personificação do banco por golpistas: uma ligação ou mensagem que use o nome, o número de celular, a data de nascimento, o endereço, a agência e o identificador interno de um cliente para parecer vir do banco.
O alerta chegou ao banco em 16 de outubro por meio de seu fornecedor de inteligência de ameaças, a CERT-In (equipe nacional de resposta a emergências cibernéticas da Índia), e da Defense Cyber Agency (órgão cibernético das Forças Armadas, subordinado ao Ministério da Defesa).
O banco acionou seus procedimentos de resposta a incidentes e de contenção e contratou uma empresa independente de cibersegurança do painel de auditores de segurança aprovados pela CERT-In para avaliar o que o comunicado chama de “o suposto comprometimento”.
Segundo o comunicado, o incidente não tem impacto relevante sobre as operações principais, o desempenho financeiro ou a continuidade dos negócios do banco. A informação diz respeito ao negócio do banco, e não aos clientes.
O comunicado não cita nenhum atacante, fórum ou conjunto de dados. O número de cerca de 375.000 registros coincide com uma alegação que a conta de monitoramento CyberPulse56 sinalizou na rede X em 16 de outubro.
A conta afirmou que um ator de ameaças que usa o nome Siriusim alegou ter vazado documentos de clientes e dados pessoais ligados ao SBI: 375.000 linhas em CSV (formato de valores separados por vírgula) e 2.722 documentos em PDF (formato de documento portátil), que, segundo a alegação, incluiriam informações pessoais, pedidos de empréstimo e documentos de apoio, formulários de abertura de conta e endereços.
O The Free Press Journal examinou a listagem no BreachForums, um fórum de crimes cibernéticos usado para negociar dados roubados, e encontrou 4 registros de amostra publicados junto com a listagem. Os números de telefone das amostras eram válidos. A foto de perfil do WhatsApp em um dos números correspondia à fotografia de tamanho passaporte no documento KYC (conheça seu cliente) dessa pessoa, que o ator também havia publicado.
Essa verificação abrange 4 registros e não mostra que o conjunto inteiro é genuíno nem de onde ele veio. As amostras eram em sua maioria relacionadas a empréstimos e continham campos de KYC, mas não permitiram saber se os dados pertenciam ao próprio SBI, a uma de suas subsidiárias ou a um fornecedor terceirizado que lida com solicitações bancárias.
O comunicado do banco não relaciona sua análise à listagem, e o banco não disse se os 2.722 documentos em PDF fizeram parte do que foi examinado.
Se algum sistema do SBI foi invadido ainda é uma questão em aberto. O comunicado deixa a origem dos dados para a investigação e não informa quando os dados apareceram pela primeira vez.
O comunicado não menciona se os clientes afetados foram ou serão comunicados. A página de segurança cibernética do banco, com última atualização em junho, orienta os clientes a denunciar qualquer incidente cibernético para report.phishing@sbi.co.in ou para a central nacional de crimes cibernéticos, pelo telefone 1930. Trata-se de uma orientação geral, escrita antes do incidente.
Outro banco estatal, o Bank of Baroda, comunicou às bolsas em 27 de julho um incidente de cibersegurança com palavras quase idênticas, incluindo “o suposto comprometimento”, depois de receber “uma comunicação de uma fonte anônima que afirmava ter acesso a determinados dados”. Esse comunicado citou uma causa preliminar: “potencial business email compromise” (comprometimento de e-mail corporativo). O comunicado do SBI não aponta nenhuma causa.
