インド最大級の国営銀行の一つであるバンク・オブ・バローダ(BoB)は、ダークウェブフォーラムで拡散していた大規模データ流出の疑惑をめぐる数週間の憶測を経て、サイバーセキュリティインシデントの発生を正式に認めました。
同行は2026年7月27日月曜日、X(旧Twitter)で声明を発表し、従業員のメールアカウントが侵害され、「一部のデータ」への不正アクセスが発生したことを認めました。
BoBは公式声明の中で、「堅牢な情報セキュリティプロトコル」を維持していると述べた上で、今回のインシデントはインフラ全体の障害ではなく、従業員1名のメールアカウントの侵害に起因するものであると具体的に説明しています。
同行によると、侵入は「速やかに特定」され、侵害の検知後には「即座に封じ込め対策が実施された」としています。
特に重要な点として、同行はコアバンキングシステムへのアクセスはなく、「引き続き安全性が保たれている」と強調し、メールを起点とした侵害と取引インフラとの間に明確な境界線を引こうとしています。
世間の懸念を煽っている被害規模の主張は、同行が認めている内容をはるかに上回っています。7月25日土曜日の夜、ダークウェブ上に700GB超のデータ一式を宣伝する出品が現れ、一部のSNS投稿や脅威インテリジェンス追跡機関は1TB近いデータ量だと主張しています。
サイバーセキュリティ研究者であるCashless ConsumerのSrikanth L氏の見解を引用したPBSの報道によると、流出したとされるデータセットには顧客情報、身分証明書類、ローン関連書類、内部監査記録が含まれているとのことです。
インドの各報道機関はさらに、サンプルデータに顧客名、写真、アドハー番号(Aadhaar番号)、口座開設フォーム、口座情報が含まれていたと報じており、より広範なデータセットには普通預金口座・当座預金口座、ネットバンキング利用者、NRI(非居住インド人)顧客、法人向けバンキング顧客、支店・ATMのデータまで及んでいるとされています。
BoBは包括的なフォレンジック調査を開始しており、「適用される規制要件に従い、関係当局と緊密に連携している」と述べています。
事情に詳しい情報筋がロイターに語ったところによると、予備的な調査結果では、今回の侵害はコアインフラではなくメールシステムの侵害に端を発しているとみられています。
タイムズ・オブ・インディア紙の報道によれば、事情に詳しい関係者の話として、BoBはナショナル・インシュランスが主幹事を務めるサイバー保険プログラムのもとで、予備的な損失通知も提出済みとのことです。同保険は総額でおよそINR 750クロール(米ドル換算で約7,800万ドル)の補償を提供しています。
BoBは流出したとされるデータの実際のデータ量や真正性については確認しておらず、インシデントをいつ最初に把握したのか、また規制当局にいつ通知したのかについても言及していません。
パスワード、決済認証情報、PIN、その他の認証データが流出したかどうかも依然として不明であり、今回の侵害に関連する不正取引がこれまでに確認されているかどうかも明らかになっていません。
なお、同行は今回のインシデントに関して証券取引所への開示は一切行っておらず、ロイターの取材時点でインド準備銀行(RBI)およびCERT-Inのいずれもコメント要請に応じていませんでした。
セキュリティ研究者たちは、アドハー番号や写真、口座情報の流出により、なりすまし詐欺やBoB顧客を標的とした標的型フィッシングキャンペーンのリスクが高まっていると警告しています。
今回のインシデントは、企業セキュリティにおいてメールアカウントが依然として脆弱な弱点であることを改めて浮き彫りにしており、ある分析では今回の侵害が従業員1名分の認証情報に関するずさんなデジタル衛生管理に起因していると指摘しています。
フォレンジック調査が進むにつれ、侵害されたレコードの実際の範囲や、攻撃者が最初にアクセスした経路について、さらなる詳細が明らかになるとみられます。
SOC調査の死角をなくし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/bank-of-baroda-confirms-data-breach/
