State Bank of India enquête pour déterminer comment près de 3 900 dossiers clients ont fini sur le dark web, soulevant des inquiétudes quant au risque de fraude financière ciblée.
SBI a révélé l’incident dans un document transmis à la Bourse le 21 octobre, indiquant qu’un examen préliminaire d’environ 375 000 dossiers trouvés sur le dark web avait permis d’identifier 3 897 dossiers clients contenant des informations permettant d’identifier personnellement les personnes concernées. Ce décompte préliminaire ne permet pas d’établir le nombre total de clients touchés.
Les informations exposées auraient notamment inclus les noms des clients, leurs numéros de mobile, dates de naissance, adresses e-mail, adresses résidentielles, identifiants d’agence et de Customer Information File (CIF), identifiants de prospects ainsi que des métadonnées liées aux prêts, selon Cyber Security News.
SBI a déclaré avoir reçu des alertes le 16 octobre de la part de son prestataire de services de renseignement sur les menaces, de la Defence Cyber Agency et de l’Indian Computer Emergency Response Team (CERT-In). La banque a engagé une agence indépendante de cybersécurité agréée par CERT-In afin d’enquêter sur l’incident, d’évaluer l’authenticité et l’exhaustivité des données, et d’en déterminer la source ainsi que l’ampleur de l’exposition. SBI n’a pas établi publiquement comment les informations avaient été obtenues ni si ses systèmes bancaires centraux avaient été compromis.
Les informations personnelles pourraient alimenter des escroqueries ciblées
Bien que l’incident concerne des dossiers clients, rien ne permet d’établir que des comptes bancaires ont été consultés ou que des fonds ont été dérobés. SBI a indiqué que les soldes des clients restaient en sécurité et que l’incident n’avait pas eu d’incidence notable sur ses opérations, ses résultats financiers ou la continuité de ses activités.
Cependant, les informations exposées pourraient rendre les communications frauduleuses plus convaincantes. Des criminels ayant accès aux noms, adresses et informations liées aux prêts des clients pourraient se faire passer pour des représentants de la banque, mentionner des informations authentiques provenant de demandes de prêt et pousser les clients à révéler des identifiants confidentiels.
Dans ses commentaires à NDTV, Sarthak Dubey, cofondateur et directeur des opérations de Mitigata, a souligné que les demandes de prêt et les documents clients peuvent transiter par des systèmes extérieurs à l’infrastructure centrale d’une banque, notamment les comptes e-mail des employés, les espaces de stockage partagés et les plateformes de traitement de prestataires tiers.
L’enquête doit aller au-delà de la recherche de la fuite
SBI a activé ses procédures de réponse aux incidents et a déclaré mettre en œuvre des mesures correctives et préventives. L’enquête devra établir si les dossiers sont authentiques, de quand ils datent et si d’autres informations clients sont exposées.
L’incident soulève également des questions sur la manière dont les banques informent leurs clients d’une éventuelle exposition. Dans une déclaration du 21 octobre rapportée par Moneylife, l’Internet Freedom Foundation a exhorté SBI à prévenir directement les clients concernés, à expliquer quelles informations avaient été exposées et à mettre en place une ligne d’assistance dédiée.
Pour les équipes chargées de la sécurité bancaire, la leçon pratique consiste à suivre les informations clients au-delà des systèmes centraux de transaction. Les plateformes de traitement des prêts, les référentiels de documents, les comptes des employés et les environnements des prestataires devraient être inclus dans les contrôles d’accès et la surveillance. Aucune de ces sources n’a été publiquement identifiée comme étant à l’origine de l’exposition chez SBI.
Les enquêteurs devraient établir quand les dossiers ont été créés, s’ils contiennent des entrées en double et quels systèmes détenaient les mêmes informations. Ces conclusions peuvent aider à déterminer si les données correspondent à une exposition actuelle, à des informations plus anciennes ou à des éléments collectés auprès de plusieurs sources.
Les équipes de sécurité et de lutte contre la fraude devraient également coordonner leur réponse une fois les dossiers concernés vérifiés. La surveillance devrait tenir compte des tentatives d’usurpation faisant référence à de véritables informations de prêt ou de client, tandis que les avertissements adressés aux clients devraient expliquer quelles informations ont été exposées et comment vérifier les demandes inattendues.
Les procédures d’assistance aux clients méritent elles aussi une attention particulière. Le personnel devrait éviter de considérer la connaissance d’une adresse, d’une date de naissance ou d’une référence de prêt comme une preuve d’identité suffisante. La réponse devrait traiter à la fois de la manière dont les informations ont été exposées et de la façon dont quelqu’un pourrait les utiliser pour obtenir un accès supplémentaire.
Ce que les clients de SBI doivent faire maintenant
Les clients n’ont pas besoin de partir du principe que leurs comptes ont été piratés, mais ils doivent rester vigilants face aux communications inattendues concernant leurs demandes bancaires ou de prêt.
- Ne communiquez jamais vos codes PIN, mots de passe ou mots de passe à usage unique (OTP) : Même les messages et appels semblant légitimes peuvent être frauduleux.
- Vérifiez les demandes par un autre moyen : contactez SBI par ses canaux officiels plutôt qu’en utilisant les liens ou numéros de téléphone fournis dans des messages suspects.
- Surveillez l’activité de vos comptes : signalez immédiatement toute transaction non autorisée à la banque.
- Soyez attentifs à l’usurpation d’identité : méfiez-vous des offres de prêt inconnues, des demandes de vérification ou des interlocuteurs qui utilisent des informations personnelles pour gagner votre confiance.
Les éléments disponibles ne confirment pas que des mots de passe, codes PIN ou OTP ont été exposés. Tant que SBI n’aura pas terminé son enquête, la principale question est de savoir si les informations personnelles divulguées pourraient être utilisées pour cibler les clients, et si la banque pourra établir l’origine de l’exposition et empêcher toute utilisation abusive supplémentaire.
À lire aussi : découvrez comment les criminels abusent des services bancaires ouverts pour tester des identifiants bancaires volés et ce que les équipes de sécurité financière devraient surveiller avant que l’argent ne circule.