「Siriusim」を名乗る攻撃者が、インド最大の国営銀行であるステート銀行(SBI)に関連するとされる顧客情報と文書を公開したと主張しています。
この主張は2026年10月16日に報告されたもので、37万5,000行分のCSVデータと2,722点のPDFファイルが提示されています。ただし、流出とされる情報の真正性、出所、規模はいずれも確認されていません。
フォーラムへの投稿は、これらの資料を顧客の個人情報、ローン申込書、口座開設申込書、その他の関連書類だと説明しています。Siriusimは、今回の公開をこのデータセットの初公開と位置づけています。
しかし、情報がSBIのシステムから流出したことや、新たに発覚した侵害であることを裏付ける独立した証拠は示されていません。
スクリーンショットには、顧客の新規登録や融資の業務フローに関連する項目を持つ、構造化されたサンプルが写っています。
確認できるラベルには、リード識別子、処理ステータス、エラーコード、個人情報、住所、支店情報、電子的な本人確認(eKYC)データ、デビット関連データなどがあります。複数の項目には、単純な表計算の値ではなく、入れ子構造のJSONオブジェクトが含まれているようです。
こうした構造から、提示されたCSVには複数のカテゴリーの情報を組み合わせた、申込単位のレコードが含まれている可能性があります。ただ、項目名だけでは、所有者や真正性、レコードの取得元システムを特定できません。
また、SBIのインフラへの不正アクセスを示すものでも、悪用された脆弱性を特定するものでも、最初の侵入時期を明らかにするものでもありません。
この掲載では、CSVデータセットとPDFコレクションが、フォーラムのクレジット制によるアクセス制限の下で別々に提示されています。この区別は重要です。37万5,000行という数字を、そのまま37万5,000人の顧客が影響を受けたと解釈すべきではないからです。
行には、重複したエントリー、繰り返された申込、処理用のレコードが含まれている可能性があります。同様に、提示されたPDFと個々の顧客との対応関係も不明です。
仮に本物であれば、身元情報、住所、銀行の申込書類が組み合わさることで、標的型フィッシング、なりすまし、金融詐欺に悪用される恐れがあります。
申込内容を知っていれば、偽の連絡ももっともらしく見せられます。とくに、受け手が正規の銀行取引と結びつけている情報を攻撃者が持ち出す場合は、なおさらです。不正なローン申込が発生する懸念もあります。
ただし、これらはあくまで起こり得る影響であり、確認された結果ではありません。現時点の資料からは、攻撃者がアカウントのパスワード、決済カードの認証情報、認証コード、顧客の資金へのアクセス権を入手したとは断定できません。
また、流出とされる事案がSBI自身に関わるのか、仲介業者やサービスプロバイダー、あるいは申込関連の情報を保有する別の組織に関わるのかも明らかになっていません。
SBIは、今回の主張について調査し、提示されたサンプルを社内の記録と照合したうえで、顧客情報が流出したかどうかを見極める必要があります。
影響を受ける可能性のある人数を結論づける前に、調査ではデータの出所、影響を受けたシステム、アクセス経路、そしてCSVのエントリーと文書との関係を明らかにすべきです。
流出が確認された場合、SBIは影響を受けた可能性のある顧客に、公式チャネルを通じて明確に通知する必要があります。独立した裏付けとなる証拠が出てくるまでは、この掲載をSBIやその顧客に影響する侵害の確認ではなく、未検証の攻撃者の主張として扱うべきです。
ANY.RUNを導入する1万6,000以上のSOCチームに加わり、脅威調査を効率化して手作業を減らしましょう。チームで試す
翻訳元: https://cyberpress.org/state-bank-of-india-data-leak/
