State Bank of Indiaは、約3,900件の顧客記録がどのようにダークウェブ上へ流出したのかを調査しており、標的型の金融詐欺につながる可能性への懸念が高まっている。
SBIは10月21日の証券取引所への届け出でこの事案を公表し、ダークウェブ上で見つかった約37万5,000件の記録を予備調査した結果、個人を特定できる情報を含む顧客記録3,897件が確認されたと説明した。この予備集計は、影響を受けた顧客の総数を示すものではない。
流出した情報には顧客の氏名、携帯電話番号、生年月日、メールアドレス、居住地住所、支店およびCustomer Information File（CIF）識別子、リードID、融資関連のメタデータなどが含まれていたと Cyber Security Newsは報じている。
SBIによると、脅威インテリジェンスサービス提供会社、Defence Cyber Agency、Indian Computer Emergency Response Team（CERT-In）から10月16日に警告を受けた。同行は、CERT-Inに登録された独立系サイバーセキュリティ機関を雇い、事案を調査するとともに、データの真正性と完全性を評価し、情報源と流出範囲を特定している。SBIは、情報がどのように取得されたのか、また中核銀行システムが侵害されたのかについて、これまで公表していない。
個人情報が標的型詐欺を助長する可能性
この事案には顧客記録が関係しているものの、銀行口座にアクセスされた、あるいは資金が盗まれたことを示すものではない。 SBIは顧客の残高が安全だと説明しており、今回の事案が業務、財務実績、事業継続性に重大な影響を及ぼしていないとしている。
しかし、流出した情報によって、詐欺目的の通信がより本物らしく見える可能性がある。顧客の氏名、住所、融資関連の詳細情報を入手した犯罪者は、銀行職員になりすまし、実際の申込情報に言及して、機密性の高い認証情報を開示するよう顧客に圧力をかけることができる。
Sarthak Dubey氏はNDTVへのコメントで、Mitigataの共同創業者兼最高執行責任者である同氏は、融資申込書や顧客書類が、従業員のメールアカウント、共有ドライブ、第三者の処理プラットフォームなど、銀行の中核インフラ以外のシステムを通過する可能性があると指摘した。
調査は情報流出の発見だけにとどめてはならない
SBIはインシデント対応手順を発動し、是正措置と予防措置を実施していると説明した。調査では、記録が本物か、どの程度新しいものか、追加の顧客情報が危険にさらされているかを明らかにする必要がある。
この事案は、情報流出の可能性を顧客にどのように伝えるかという点についても疑問を投げかけている。 Moneylifeが報じた10月21日付の声明で、Internet Freedom FoundationはSBIに対し、影響を受けた顧客へ直接通知し、どの情報が流出したのかを説明するとともに、専用ヘルプラインを設けるよう求めた。
銀行のセキュリティチームにとっての実務的な教訓は、顧客情報を中核の取引システム以外にも追跡することだ。融資処理プラットフォーム、文書保管庫、従業員アカウント、ベンダー環境をアクセスレビューと監視の対象に含めるべきである。これらのいずれも、SBIの情報流出元として公表されてはいない。
調査担当者は、記録がいつ作成されたのか、重複した項目を含んでいるのか、同じ情報を保有していたシステムはどれかを明らかにすべきだ。こうした調査結果は、そのデータが現在も続く情報流出を示すのか、古いデータなのか、複数の情報源から収集された情報なのかを判断するのに役立つ。
影響を受けた記録が確認されたら、セキュリティチームと詐欺対策チームも対応を連携させるべきだ。監視では、本物の融資情報や顧客情報を使ったなりすましの試みを考慮し、顧客への警告では、どの情報が流出したのか、予期しない依頼をどう確認すべきかを説明する必要がある。
顧客サポートの手順にも注意が必要だ。担当者は、住所、生年月日、融資照会番号を知っていることだけで本人確認が十分だと判断してはならない。対応では、情報が流出した経緯だけでなく、何者かがその情報を使ってさらなるアクセスを得る方法にも対処すべきである。
SBIの顧客が今すべきこと
顧客は自分の口座がハッキングされたと考える必要はないが、銀行取引や融資申込に関する予期しない連絡には警戒しなければならない。
- PIN、パスワード、ワンタイムパスワード（OTP）を決して共有しない：本物らしく見えるメッセージや電話でも、詐欺の可能性はある。
- 依頼は独自に確認する：不審なメッセージに記載されたリンクや電話番号は使わず、SBIの公式窓口から連絡する。
- 口座の動きを監視する：不正な取引があれば、直ちに銀行へ報告する。
- 身元情報の悪用に注意する：見覚えのない融資の勧誘、確認依頼、個人情報を使って信用性を示そうとする電話には警戒する。
現時点で得られている調査結果からは、パスワード、PIN、OTPが流出したとは確認されていない。SBIが調査を完了するまでの主な懸念は、開示された個人情報が顧客を狙うために使われる可能性があるか、そして同行が情報流出元を特定し、さらなる悪用を防げるかどうかだ。
続きを読む：犯罪者が オープンバンキングサービスを悪用して盗まれた銀行ログイン情報を試す方法と、資金が動く前に金融セキュリティチームが監視すべき対象。