State Bank of India (SBI) bevestigt dat er mogelijk klantgegevens zijn blootgesteld op het dark web. In een set van ongeveer 375.000 records die online circuleert, is volgens SBI een subset van 3.897 records dark web aangetroffen met persoonlijke informatie. De bank stelt dat de telling voorlopig is en dat er nog geen duidelijkheid is over herkomst, echtheid en impact.
Wat de bank wél al aangeeft: de blootgestelde data zou vooral geschikt zijn voor misleiding. Met combinatie van gegevens zoals naam, mobielnummer, geboortedatum en interne identificatiecodes kan een aanvaller klanten benaderen alsof er contact is vanuit de bank.
Wat SBI zegt over de blootstelling
De melding komt uit een depot bij de Indiase beurs, gedateerd 21 oktober. SBI beschrijft daarin dat het een incident heeft ervaren waarbij “bepaalde data” verloren is gegaan. Daarbij benadrukt de bank dat de cijfers in eerste instantie zijn gebaseerd op een beperkte analyse en dat nog moet worden vastgesteld:
- of de gegevens authentiek zijn;
- tot hoever de blootstelling reikt;
- welke concrete risico’s klanten lopen.
Volgens SBI bevatte de (gerapporteerde) dataset onder andere geregistreerde mobiele nummers, geboortedata, namen, geslacht, e-mailadressen en woonadressen. Daarnaast worden ook gegevens genoemd die intern bij de bank worden gebruikt, zoals branch-identifiers en de CIF-identificatiecode.
Waarom CIF en branch-identifiers belangrijk zijn
De CIF-code is het interne klantinformatienummer van SBI. Hetzelfde geldt voor branch-gerelateerde identifiers. Juist die combinatie maakt gerichte impersonatie eenvoudiger: een aanvaller kan details gebruiken die veel verder gaan dan alleen naam en telefoonnummer.
Welke gegevens ontbreken volgens de bank
Niet alle soorten gevoelige informatie worden genoemd in de SBI-melding. Zo geeft de bank aan dat categorieën zoals accountnummers, balances, wachtwoorden, one-time passcodes, kaartgegevens en nationale identiteitsnummers (zoals PAN of Aadhaar) niet in de opsomming terugkomen.
Dat betekent niet dat het risico klein is. SBI wijst namelijk op een ander type gevaar: imitatie en phishing-achtige fraude. Als een aanvaller precies weet hoe iemand heet, hoe iemand bereikbaar is en welke interne code bij die persoon hoort, neemt de overtuigingskracht van berichten toe.
Hoe SBI het incident oppakte
SBI zegt dat de waarschuwing bij de bank is binnengekomen op 16 oktober via een dreigingsinformatieleverancier. Daarbij worden ook nationale en militaire cyberinstanties genoemd:
- CERT-In, het Indiase Computer Emergency Response Team;
- de Defense Cyber Agency (cyberorganisatie onder het ministerie van Defensie).
Na ontvangst activeerde SBI haar incidentrespons- en afschermingsprocedures. Daarnaast schakelde de bank een onafhankelijke cybersecurityfirma in uit het panel van gecertificeerde security auditors van CERT-In. Die partij moet helpen beoordelen wat SBI “de vermeende compromittatie” noemt.
Is het echt van SBI afkomstig? Het blijft onzeker
Volgens SBI is het nog een open vraag of de dataset betrekking heeft op echte SBI-klanten en of de 3.897 records daadwerkelijk 3.897 unieke personen vertegenwoordigen. Ook is onbekend wat er in de rest van de set van ongeveer 375.000 records zit.
De beursfiling bevat bovendien geen naam van een aanvaller, forum of dataset. SBI refereert wel aan een eerdere claim: het getal en de orde van grootte lijken overeen te komen met wat een account op X op 16 oktober aangaf. Over die claim wordt genoemd dat een bedreigingsactor onder de naam Siriusim zou hebben gesteld dat er documenten en persoonlijke data van SBI waren gelekt.
Wat er op het forum te zien zou zijn
Er wordt ook bericht over een controle door een nieuwsmedium dat de listing op BreachForums onderzocht. In dat kader zijn vier voorbeeldrecords geüpload. Voor die samples zouden onder meer telefoonnummers echt geldig blijken.
Daarnaast werd er gecheckt of een WhatsApp-profielafbeelding overeenkwam met de foto op een KYC-document van dezelfde persoon. Die vergelijking is gedaan voor de betreffende sample-items. Belangrijk detail: die checks zeggen nog niet dat de volledige dataset volledig authentiek is, of dat de herkomst met zekerheid klopt.
Ook over het deel met PDF’s (genoemd als 2.722 documenten) meldt SBI dat het niet kan bevestigen of die PDF’s onderdeel waren van de analyse die de bank zelf heeft gedaan.
Impact op de bank: volgens SBI beperkt
In de filing stelt SBI dat het incident geen materiële impact heeft op de kernactiviteiten, financiële prestaties of bedrijfscontinuïteit. Met andere woorden: de bank positioneert het probleem als iets dat vooral speelt richting risico voor klanten, niet als een operationele systeembreuk.
Tegelijk blijft de kernvraag: of (en hoe) die data uit SBI-systemen of vanuit ketenpartners afkomstig is. SBI zegt hierover dat ofwel de herkomst nog onderzocht wordt, ofwel dat de startdatum onbekend is.
Wat klanten praktisch kunnen doen
Hoewel SBI niet expliciet aangeeft of getroffen klanten individueel worden geïnformeerd, is het type data dat genoemd wordt duidelijk relevant voor impersonatie. Daarom is het verstandig om de communicatie rondom “bankzaken” extra kritisch te bekijken.
- Controleer afzender en context: stem altijd af met officiële kanalen van de bank.
- Wees alert op druk: urgentie of dreigementen zijn vaak een signaal voor misleiding.
- Deel nooit codes: OTP’s of andere verificatiecodes horen niet gedeeld te worden.
- Rapporteer phishing: SBI verwijst naar een algemeen meldadres voor cyberincidenten en een nationale meldhelplijn.
Wie binnen een organisatie of bij een securityteam betrokken is bij communicatie, kan deze casus ook gebruiken om bestaande processen voor incidentcommunicatie en klantbegeleiding te toetsen.
Vergelijkbare incidenten en wat je kunt leren
Dat dergelijke meldingen snel leiden tot vragen over echtheid en omvang, zien we vaker. Een nuttige referentie is een eerder bericht over gecompromitteerde OVHcloud CLI, waar ook de nadruk lag op wat er precies is blootgelegd en welke vervolgstappen nodig zijn. Ook in dit soort situaties is het belangrijk om niet alleen te kijken naar het “aantal records”, maar naar het type gegevens en het frauderisico.
Verder kan het helpen om binnen je securityaanpak onderscheid te maken tussen technische compromittatie en wat er op de dark web-marktplaatsen beweerd wordt. Voor klanten kan de impact namelijk vooral liggen in de verhoogde kans op gerichte oplichting.
Conclusie
De bevestiging door State Bank of India draait om 3.897 records dark web in een grotere set van circa 375.000 items. De bank heeft nog niet vastgesteld waar de data vandaan komt, of alles echt is en hoe breed de blootstelling is. Wat SBI wel duidelijk maakt: de genoemde klantgegevens zijn met name bruikbaar voor gerichte impersonatie, waardoor aandacht voor phishing en misleiding cruciaal blijft.
Zolang de bron en authenticiteit niet rond zijn, blijft het advies: wees voorzichtig met bankcommunicatie en rapporteer verdachte berichten via de officiële kanalen.
Bron: https://thehackernews.com/2026/10/state-bank-of-india-confirms-data-leak.html
