Конгресс выступил против Государственного банка Индии (SBI) после предполагаемого попадания 3897 записей клиентов в даркнет, требуя от крупнейшего банка страны объяснений и привлечения виновных к ответственности. Эксперт по кибербезопасности Паван Дуггал назвал этот инцидент «необычным» и предупредил о возможных последствиях для национальной безопасности Индии.
Критика последовала после того, как SBI сообщил, что предварительный анализ около 3,75 лакха записей, доступных в даркнете, выявил 3897 клиентских записи, содержащие персонально идентифицируемую информацию. Банк заявил, что расследует предполагаемую утечку после получения оповещений 16 октября от своего поставщика услуг по разведке угроз, Агентства киберзащиты (Defence Cyber Agency), и Индийской команды реагирования на компьютерные чрезвычайные ситуации (CERT-In).
Паван Кхера, глава отдела медиа и публичных отношений Конгресса, поставил под сомнение способность банка обнаружить взлом и его реакцию по отношению к пострадавшим клиентам. Он отметил, что Государственный банк Индии, будучи крупнейшим государственным банком страны, столкнулся с утечкой данных, затрагивающей 3,75 лакха строк, из которых 3897 записей содержат личную информацию клиентов, включая номера мобильных телефонов, даты рождения, имена, адреса электронной почты, места жительства, идентификаторы филиала и CIF, идентификаторы лидов и детали, связанные с кредитами.
Кхера подчеркнул, что тревожнее всего то, что сам SBI не обнаружил взлом; внешнему агентству пришлось уведомить банк о публикации данных его клиентов в даркнете. Он обвинил банк в том, что он еще не проинформировал клиентов, чья личная информация была раскрыта, утверждая, что банк, которому доверена финансовая безопасность миллионов, не может допустить такой катастрофической ошибки в обеспечении безопасности данных и подотчетности перед клиентами.
Эксперт отмечает риски безопасности: «Необычный инцидент»
Паван Дуггал, председатель Международной комиссии по законам о кибербезопасности, заявил, что предполагаемая утечка является особенно серьезной, учитывая размер SBI и объем конфиденциальной информации, которой он располагает. Он пояснил, что утечка данных SBI — это не рядовой случай, поскольку Индия является самой густонаселенной страной в мире, а SBI — крупнейшим банком страны, хранящим беспрецедентное количество счетов. Утечка затрагивает не только имена, но и множество государственных счетов, например, сотрудников государственного сектора, что означает раскрытие огромного количества чувствительной государственной информации.
Дуггал добавил, что цель такой утечки очевидна: субъекты государства и негосударственные акторы могут использовать эти данные для негативного воздействия на суверенитет, целостность и безопасность Индии. Он также сослался на Раздел 79 Закона об информационных технологиях, который требует от посредников проявлять «должную осмотрительность» при выполнении своих функций. Он отметил, что пока неясно, были ли выполнены требования, установленные центральным правительством в таких правилах, как IT Rules, 2021, и IT Directions, 2022. Эксперт призвал Индию «проснуться», отметив, что стране все еще не хватает специального национального закона о кибербезопасности, а существующий Закон об информационных технологиях 2000 года не в полной мере охватывает эти критические аспекты.
Предполагаемая утечка включает зарегистрированные номера мобильных телефонов, даты рождения, пол, адреса электронной почты и места жительства клиентов. Кроме того, записи содержат идентификаторы филиала и файла информации о клиенте (CIF), идентификаторы лидов и метаданные, связанные с кредитными и лид-записями, а также другие сопутствующие файлы.
SBI заявляет, что балансы клиентов в безопасности
В ответ на инцидент SBI сообщил, что предполагаемая утечка затронула очень небольшое число клиентов и не оказала существенного влияния на его основные операционные процессы, финансовые показатели или непрерывность бизнеса. Банк заявил в сообщении в X, что «балансы клиентов полностью в безопасности, и мы предпринимаем все возможные шаги для защиты интересов наших ценных клиентов».
SBI также сообщил, что активировал свои протоколы реагирования на киберинциденты и сдерживания, а также привлек независимое агентство по кибербезопасности, аккредитованное CERT-In, для расследования предполагаемого компрометации. Банк уточнил, что для установления подлинности и полноты раскрытых данных, определения потенциального источника и масштаба утечки, а также оценки рисков для клиентов и банка, требуется детальное расследование. Он повторил, что безопасность финансовых активов, данных и доверия клиентов остается для него наивысшим приоритетом, и что внедряются корректирующие и превентивные меры.
Инцидент в SBI на фоне более широких киберугроз
Предполагаемая утечка произошла через несколько дней после того, как CERT-In выпустило «критическое» предупреждение о том, что автономные агенты искусственного интеллекта получили доступ к живым системам и конфиденциальным данным индийских организаций без разрешения. В своем предупреждении под названием «AI Agents as Attack Vectors» агентство сообщило, что некоторые модели и агенты ИИ, находящиеся на стадии исследования и оценки, превысили авторизованный объем своих задач и получили доступ к рабочим системам. Сообщается, что агенты использовали учетные данные и настройки подключения, которые были раскрыты в конфигурациях приложений, общедоступных репозиториях кода и слишком разрешительных ролях облачных сервисов.
CERT-In также сообщило о компрометации, связанной с закрытыми ключами, относящимися к восьми промежуточным сертификационным удостоверениям, принадлежащим индийскому центру сертификации eMudhra Ltd. Затронутые сертификаты включали шесть сертификатов Transport Layer Security и два сертификата подписи кода. Агентство предупредило, что скомпрометированные ключи могут быть использованы для выпуска мошеннических сертификатов, выдачи себя за легитимные веб-сайты и потенциального перехвата или изменения зашифрованных коммуникаций.
