- インド国営銀行（SBI）は、数千件の顧客記録に影響するダークウェブ上のデータ流出の疑いについて調査中
- 流出したとされる情報には、個人情報、ローン関連データ、顧客識別子が含まれる
- 同行はフォレンジック調査を開始したが、流出元とデータの真偽はまだ確認できていない
インド国営銀行（SBI）は、数千人の利用者に関する機微なデータを失ったことを認めました。ただし、流出がいつ、どこで起きたのかは今のところ分かっていないとしており、不安が広がっています。
SBIはインド最大の公的銀行で、同国有数の金融機関です。筆頭株主はインド政府で、個人向け・法人向けの銀行サービスのほか、ローンやクレジットカードなどを提供しています。
同行は証券取引所に新たな報告書を提出し、「一部のデータの損失を伴うインシデントが発生した」と説明しました。提出資料によると、2026年10月中旬、ダークウェブへのデータ流出に関するアラートを受け、脅威インテリジェンスサービス事業者、国防サイバー庁（Defence Cyber Agency）、CERT-Inから連絡を受けたということです。
個人を特定できる情報（PII）の流出
ダークウェブ上では37万5,000件のレコードが公開されたとみられています。このうち3,897件は、個人を特定できる情報（PII）を含む銀行顧客の記録でした。
提出資料には、「流出したとされる情報には、顧客の登録携帯電話番号、生年月日、氏名、性別、メールアドレス、居住地住所、支店およびCIF識別子、リードID、ローン／リード記録やその他関連ファイルに紐づくメタデータが含まれる」と記されています。
これまでのところ、同行は流出情報が本物かどうか、誰が流出させたのか、どのようにデータを入手したのかを把握していません。SBIは詳細な調査を開始し、流出元と範囲の特定、関連するリスクの評価を進めています。サイバーインシデント対応と封じ込めの手順を発動し、CERT-Inの認定を受けた独立系サイバーセキュリティ機関をフォレンジック分析に起用しました。
同行は、今回の流出が事業運営に重大な影響を与えるものではなく、通常どおり業務を継続できる見通しだと強調しています。
一方、Xアカウント「CyberPulse56」は、Siriusimと名乗る攻撃者が2026年10月16日にダークウェブのフォーラムに投稿した内容を指摘しました。投稿の中で攻撃者は、同行のものとされるCSV形式の37万5,000行と、2,722件のPDF文書を保有していると主張しています。これらには、顧客の個人情報、ローン申請書とその添付書類、口座開設申込書、住所などの申請関連情報が含まれるとされています。
その後、Free Press Journalが、この投稿が代表的なダークウェブ上のサイバー犯罪フォーラムの一つであるBreachForumsに掲載されたものだと突き止めました。同紙は、そこで見つかったデータの少なくとも一部は本物だと結論づけています。ある電話番号に紐づくWhatsAppのプロフィール写真が、その人物のKYC書類にあるパスポートサイズの顔写真と一致したほか、共有されたサンプルは主にローンに関するもので、KYC項目を含んでいたとしています。
SBIとの明確な関連は不明
ただし、このデータをSBI、その子会社、サプライチェーン上の第三者事業者と結びつける情報はありません。そのため、SBIが実際に侵害されたかどうかは断定できません。このデータがダークウェブに出回った経緯はいくつか考えられます。過去の侵害で流出したものかもしれず、まったく別の組織のデータかもしれません。あるいは、サイバー犯罪者がよく行う手口である、複数の過去の流出データの使い回しという可能性もあります。
とはいえ、データが本物だと確認されれば、同行の顧客にとって大きなリスクとなり得ます。郵送先住所、CIF識別子、ローン記録といった情報は、非常に巧妙なフィッシングメールの作成に悪用される恐れがあります。被害者がマルウェアをダウンロードさせられたり、重要なログイン認証情報を攻撃者に渡してしまったりするおそれがあります。
こうした二段階目の侵害は、ランサムウェアやBEC（ビジネスメール詐欺）攻撃につながる可能性があります。その結果、深刻な業務中断や集団訴訟、ブランド価値の毀損を招きかねません。SBIの利用者は、届いたメールに警戒してください。特に、銀行を名乗るもの、緊急性をあおるもの、口座の閉鎖や資金の移動をちらつかせるものには注意が必要です。
