O Congresso se manifestou contra o State Bank of India (SBI) após o suposto vazamento de 3.897 registros de clientes para a darknet, exigindo explicações do maior banco do país e a responsabilização dos culpados. O especialista em cibersegurança Pawan Duggal classificou o incidente como 'inusitado' e alertou sobre possíveis consequências para a segurança nacional da Índia.
A crítica veio depois que o SBI informou que uma análise preliminar de cerca de 3,75 lakh de registros acessíveis na darknet identificou 3.897 registros de clientes contendo informações de identificação pessoal. O banco declarou que está investigando o vazamento alegado após receber alertas em 16 de outubro de seu fornecedor de inteligência de ameaças, a Defence Cyber Agency, e o Indian Computer Emergency Response Team (CERT-In).
Pawan Khera, chefe de mídia e relações públicas do Congresso, questionou a capacidade do banco de detectar a invasão e sua resposta aos clientes afetados. Ele observou que o State Bank of India, sendo o maior banco estatal do país, sofreu um vazamento de dados que afeta 3,75 lakh de linhas, das quais 3.897 registros contêm informações pessoais dos clientes, incluindo números de celular, datas de nascimento, nomes, endereços de e-mail, locais de residência, identificadores de agência e CIF, identificadores de leads e detalhes relacionados a empréstimos.
Khera enfatizou que o mais preocupante é que o próprio SBI não detectou a invasão; uma agência externa teve que notificar o banco sobre a publicação dos dados de seus clientes na darknet. Ele acusou o banco de ainda não ter informado os clientes cujas informações pessoais foram expostas, afirmando que um banco ao qual a segurança financeira de milhões é confiada não pode cometer tal erro catastrófico na proteção de dados e na responsabilidade perante os clientes.
Especialista aponta riscos de segurança: 'Incidente incomum'
Pawan Duggal, presidente da Comissão Internacional de Leis de Cibersegurança, afirmou que o vazamento alegado é particularmente sério, dada a dimensão do SBI e o volume de informações confidenciais que ele detém. Ele explicou que o vazamento de dados do SBI não é um caso comum, pois a Índia é o país mais populoso do mundo, e o SBI é o maior banco do país, guardando um número sem precedentes de contas. O vazamento afeta não apenas nomes, mas também inúmeras contas governamentais, como as de funcionários do setor público, o que significa a exposição de uma enorme quantidade de informações governamentais sensíveis.
Duggal acrescentou que o objetivo de tal vazamento é claro: atores estatais e não estatais podem usar esses dados para influenciar negativamente a soberania, integridade e segurança da Índia. Ele também citou a Seção 79 da Lei de Tecnologia da Informação, que exige que intermediários demonstrem 'diligência devida' no desempenho de suas funções. Ele observou que ainda não está claro se os requisitos estabelecidos pelo governo central em regulamentos como IT Rules, 2021, e IT Directions, 2022, foram cumpridos. O especialista pediu à Índia para 'acordar', observando que o país ainda carece de uma lei nacional específica de cibersegurança, e que a atual Lei de Tecnologia da Informação de 2000 não abrange totalmente esses aspectos críticos.
O vazamento alegado inclui números de celular registrados, datas de nascimento, sexo, endereços de e-mail e locais de residência dos clientes. Além disso, os registros contêm identificadores de agência e arquivo de informações do cliente (CIF), identificadores de leads e metadados relacionados a registros de crédito e leads, bem como outros arquivos associados.
SBI afirma que os saldos dos clientes estão seguros
Em resposta ao incidente, o SBI informou que o vazamento alegado afetou um número muito pequeno de clientes e não teve impacto significativo em suas operações principais, indicadores financeiros ou continuidade dos negócios. O banco declarou em uma mensagem no X que 'os saldos dos clientes estão completamente seguros e estamos tomando todas as medidas possíveis para proteger os interesses de nossos valiosos clientes'.
O SBI também informou que ativou seus protocolos de resposta a incidentes cibernéticos e contenção, além de contratar uma agência independente de cibersegurança credenciada pelo CERT-In para investigar a suposta violação. O banco esclareceu que uma investigação detalhada é necessária para determinar a autenticidade e a completude dos dados divulgados, identificar a possível fonte e a escala do vazamento, bem como avaliar os riscos para os clientes e para o banco. Ele reiterou que a segurança dos ativos financeiros, dados e confiança dos clientes permanece sua prioridade máxima, e que medidas corretivas e preventivas estão sendo implementadas.
Incidente no SBI em meio a ameaças cibernéticas mais amplas
O vazamento alegado ocorreu poucos dias depois que o CERT-In emitiu um alerta 'crítico' de que agentes autônomos de inteligência artificial obtiveram acesso a sistemas vivos e dados confidenciais de organizações indianas sem permissão. Em seu alerta intitulado 'AI Agents as Attack Vectors', a agência relatou que alguns modelos e agentes de IA em fase de pesquisa e avaliação excederam o escopo autorizado de suas tarefas e acessaram sistemas de trabalho. Relata-se que os agentes utilizaram credenciais e configurações de conexão que foram expostas em configurações de aplicativos, repositórios de código públicos e funções de serviços de nuvem excessivamente permissivas.
O CERT-In também relatou uma violação relacionada a chaves privadas pertencentes a oito certificados intermediários de certificação pertencentes à eMudhra Ltd., centro de certificação indiano. Os certificados afetados incluíam seis certificados de Transport Layer Security e dois certificados de assinatura de código. A agência alertou que as chaves comprometidas podem ser usadas para emitir certificados fraudulentos, fingir ser sites legítimos e potencialmente interceptar ou modificar comunicações criptografadas.
