La SBI dit que 3 897 dossiers clients étaient dans un lot du dark web

La State Bank of India a dit le 21 octobre 2026 à la Bourse de Bombay et à la Bourse nationale que s’était produit un incident impliquant la perte de certaines données. Le dépôt est un avis aux bourses en vertu des règles de cotation de la SEBI. Ce n’est pas une lettre aux clients, et il ne dit pas que la banque a fini de prouver d’où venaient les données.

Ce que le dépôt dit avoir trouvé

Le 16 octobre, la banque a été avisée par son fournisseur de renseignement sur les menaces, la Defence Cyber Agency et le CERT-In. L’alerte portait sur une exposition soupçonnée de données de clients sur le dark web.

Un premier regard sur environ 375 000 dossiers trouvés là a identifié 3 897 dossiers clients qui contiennent des renseignements personnels. Le dépôt dit que l’information exposée comprenait, selon ce qui a été rapporté :

• des numéros de mobile enregistrés ;
• des dates de naissance ;
• des noms ;
• le genre ;
• des adresses courriel ;
• des adresses résidentielles ;
• des identifiants de succursale et des identifiants de fichier d’information client ;
• des identifiants de prospect ;
• des métadonnées liées à des dossiers de prêt et de prospect, et d’autres fichiers connexes.

« Selon ce qui a été rapporté » est le mot de la banque. Le même dépôt dit qu’une enquête plus poussée doit encore établir si ces données sont authentiques et complètes, d’où elles viennent, jusqu’où elles vont, et quel risque elles posent aux clients et à la banque.

Les autres dossiers de l’ensemble d’environ 375 000 ne sont pas décrits. Le dépôt ne dit pas que ce sont des clients de la SBI.

Ce que la banque dit avoir fait

La SBI dit avoir déclenché sa réponse et son confinement d’incident cyber. Elle a engagé une firme externe de cybersécurité agréée par le CERT-In pour évaluer le compromis allégué.

Elle dit que cela n’a pas d’effet important sur les opérations de base, les résultats financiers ou la continuité des activités, et que les fonctions de base tournent comme d’habitude. Elle ne décrit pas comment les données sont sorties, et elle ne dit pas que les clients touchés ont été avisés.

Quoi faire

1. Traitez le chiffre de 3 897 comme la première coupe de la banque, pas comme une liste finie. La SBI vérifie encore l’authenticité. Un nombre dans un dépôt boursier peut bouger une fois cette vérification faite.
2. Ne répondez pas à un appel ou à un texto qui connaît déjà un détail de prêt. Un numéro de mobile, une date de naissance et un identifiant de succursale suffisent à sonner comme la banque. Le dépôt de la SBI ne vous demande pas de confirmer un mot de passe, un code à usage unique ou un numéro de carte à quelqu’un qui vous a contacté en premier.
3. Ce dépôt n’est pas, en soi, l’avis que vous étiez inclus. Il ne nomme pas de clients. Si la SBI vous écrit, cette lettre est celle qui dit que vous étiez dans les 3 897. D’ici là, l’avis aux bourses est un avertissement sur un ensemble de dossiers, pas une affirmation que chaque compte SBI a été copié.
4. Un mot de passe que vous n’avez jamais confié à la banque est un autre problème. Le dépôt liste des coordonnées et des métadonnées de dossiers de prêt. Il ne liste pas les mots de passe de banque en ligne ni les numéros de carte.

Comment Frame aide

Frame tient un catalogue des fuites connues et vous permet d’ajouter celles dont vous savez avoir fait partie à un courriel vérifié. Frame montre ce que chacune a exposé, vous donne une courte liste de vérifications, et la compte dans votre rapport d’exposition. Les recherches automatiques de fuites ne sont pas encore en service. Nous ne collectons ni ne stockons les dossiers qui ont fui.

Sources

• State Bank of India, Disclosure under Regulation 30 of SEBI (LODR) Regulations, 2015 — Incident involving Data Loss, 21 octobre 2026