インド国営銀行のState Bank of India（SBI）は、サイバーインシデントにより顧客データが影響を受けたことを認めました。影響を受けた顧客には、電子メールまたはWhatsApp（もしくはその両方）で通知したとしています。
同行は顧客向けの安全情報の中で、口座残高と資金は引き続き安全だと改めて強調し、不審な連絡に注意するよう呼びかけました。
「Customer Safety & Awareness – Important Update」と題したこの告知は、インシデントに関する以前の投稿に言及しています。ただし、提示された声明では、インシデントがいつ発生したのか、どのように検知したのか、どのシステムが関与したのかは明らかにされていません。
影響を受けた顧客の人数や、関係する情報の種類も公表されていません。SBIは、データが関係していると特定された顧客全員に連絡したとしています。
この表現からは、顧客データに影響が出たことは確認できます。一方で、情報にアクセスされたのか、コピーされたのか、公に流出したのか、あるいは別の形で侵害されたのかなど、技術面の重要な疑問には答えていません。
この違いは、発表内容を読み解くうえで重要です。声明は顧客情報に関わるインシデントがあったことを認めていますが、攻撃手法が確認されたとは説明していません。攻撃者も特定しておらず、ランサムウェアやフィッシング、ソフトウェアの脆弱性の悪用といった原因とも結び付けていません。
また、SBIが個別に通知したと述べているからといって、すべての顧客が影響を受けたとは限りません。告知には、人数の推計や地域別の内訳がありません。影響を受けたのが個人顧客なのか、法人顧客なのか、あるいは両方なのかも示されていません。
SBIは、顧客の「口座残高と資金は当行が安全に守っています」と述べています。今回の更新で示された金銭面の保証はこの点です。しかし、その保証の技術的な根拠は説明されていません。調査や封じ込めの措置、フォレンジックの結果、改善対応についても詳細はありません。
したがって、この声明を、銀行のインフラ全体が影響を受けなかったという確認として読むべきではありません。同時に、攻撃者が取引システムにアクセスした、資金を盗んだ、ログイン認証情報を入手した、銀行サービスを妨害したと主張できる根拠もありません。
開示内容は限られており、認めた顧客データの問題と、資金に関する同行の保証を切り離しています。そのため、事案の範囲は確定していません。
SBIは顧客に対し、安全なデジタルバンキングの習慣を守ることを勧めています。ワンタイムパスワード（OTP）、PIN、パスワードは決して教えないこと、不審な電話、メッセージ、電子メールには警戒を続けることです。告知には、こうした具体的な防御策が盛り込まれています。
更新では、認証用の秘密情報が流出したとは述べていません。後続の詐欺被害が発生したことを示す記載もありません。代わりに、同行は対象顧客への個別通知と併せて、認証情報を秘匿し、不審な連絡に警戒するようにという一般的な注意喚起を行っています。
現時点で告知が確認しているのは、顧客データが関与したことと、直接通知を行ったことだけです。インシデントの経過、技術的な侵入経路、影響を受けたデータ項目、全体の規模は公表されていません。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を減らしています。チームで試してみる
翻訳元: https://cyberpress.org/sbi-confirms-customer-data-affected-funds-are-safe/
