State Bank of India confirma vazamento de dados pessoais de quase 4 mil clientes

Foto: Dhyey Sharma (Pexels)

O State Bank of India (SBI), o maior banco estatal do país, confirmou o vazamento online de 3.897 registros de clientes, em aviso à bolsa indiana. O episódio, embora numericamente pequeno frente a uma base de mais de 500 milhões de pessoas, ganha peso pelo mercado clandestino de informações pessoais na Índia.

Segundo a Dark Reading, um hacker anônimo publicou a carga e o banco classificou o impacto como muito restrito, sem interrupção das operações centrais.

O que aconteceu

Na semana passada, uma conta chamada Siriusim anunciou no BreachForums dados do SBI, com informações pessoais, pedidos de conta e de crédito, uma tabela com 375 mil linhas e 2.722 arquivos PDF. Nem o volume da tabela nem o número de PDFs equivalem, necessariamente, ao total de pessoas atingidas.

Em comunicado à National Stock Exchange da Índia, a secretaria de compliance do SBI reconheceu o vazamento de 3.897 registros, sem esclarecer se cada um corresponde a um cliente distinto. Em aviso ao público, o banco falou em um número muito, muito pequeno de afetados. Para uma instituição com mais de 500 milhões de clientes, a fatia citada corresponde a cerca de 0,0008% da base.

Os dados confirmados pelo SBI incluem nomes, gênero, telefones, e-mails, endereços residenciais, datas de nascimento, identificadores de perfil bancário, metadados de empréstimos e outros arquivos. Reportagens posteriores em Mumbai, citadas pela Dark Reading, apontaram também números do Central Know Your Customer (KYC) — o cadastro unificado usado no sistema financeiro indiano —, vídeos de verificação KYC e documentos típicos de abertura de conta ou pedido de crédito, como declarações de emprego e renda.

A Free Press Journal, de Mumbai, teria validado amostras do vazamento: em um caso, o número de celular e a documentação KYC bateram com a foto de passaporte e a imagem associada ao WhatsApp da vítima. A causa do incidente e o motivo da escala tão limitada seguem sem resposta pública. O SBI afirmou que as funções centrais do negócio seguem normais, o que, na leitura da Dark Reading, pode sugerir falha em serviço periférico ou sistema de tratamento de dados, e não no núcleo bancário. Em 2019, o banco já havia exposto dados de clientes por um servidor sem senha ligado ao SBI Quick, usado para SMS e ligações sobre contas.

O que isso pode mudar

Para quem está na lista, o risco principal talvez não seja o saque direto da conta, e sim golpes mais convincentes. O pesquisador independente Sushant Bhardwaj avalia que, se os dados forem genuínos, o cenário mais provável envolve phishing, vishing e fraude de identidade ou de empréstimo: quem conhece detalhes reais pode se passar pelo banco com credibilidade. Detalhes de KYC são difíceis de alterar e podem sustentar pedidos de crédito em nome alheio; metadados de empréstimo permitem pressionar o cliente a pagar taxas falsas ou revelar senhas de uso único (OTP).

Brian Hussey, da Cyderes, lembra que o mercado subterrâneo indiano de dados pessoais combina dumps vazados e serviços de consulta em tempo real — em um caso recente documentado por sua equipe, cerca de 5 rúpias por busca via bot no Telegram e interface de programação de aplicações (API). Uma pequena exposição no SBI poderia, nessa hipótese, alimentar cadeias de enriquecimento de perfil: de um celular a histórico de emprego e veículos. A conectividade dos sistemas de identidade na Índia, alerta Hussey, é o que torna um vazamento pontual útil em outros pontos da cadeia criminosa.

Para o setor financeiro, o caso reforça a tensão entre campanhas de conscientização — o SBI chegou a lançar o mascote Captain Y como protetor cibernético — e a necessidade de proteger não só o núcleo, mas também sistemas auxiliares onde ficam pedidos, KYC e metadados. O impacto reputacional e regulatório tende a pesar mais do que o percentual da base atingida.

Fontes: Dark Reading

Leia mais em: www.mundodosnegocio.com.br