SBI、ダークウェブで見つかった顧客記録約3,900件について調査

インド国営銀行のState Bank of India（SBI）は、約3,900件の顧客記録がダークウェブに流出した経緯を調べています。標的型の金融詐欺に悪用される恐れがあると懸念されています。

SBIは10月21日、証券取引所への開示資料でこのインシデントを公表しました。ダークウェブで見つかった約375,000件の記録を予備調査したところ、個人を特定できる情報（PII）を含む顧客記録が3,897件確認されたといいます。ただし、この件数は予備的なものであり、影響を受けた顧客の総数を示すものではありません。

流出した情報には、顧客の氏名、携帯電話番号、生年月日、メールアドレス、居住地住所、支店およびCustomer Information File（CIF）の識別子、リードID、ローン関連のメタデータが含まれていたと、 Cyber Security Newsは報じています。

SBIによると、10月16日に脅威インテリジェンスサービスの提供事業者、国防サイバー庁（Defence Cyber Agency）、インドのコンピュータ緊急対応チーム（CERT-In）から警告を受けました。同行はCERT-INの認定を受けた独立系のサイバーセキュリティ企業を起用し、インシデントの調査を進めています。調査では、データの真正性と網羅性を評価するとともに、流出元と露出の範囲を特定する方針です。ただし、情報がどのように入手されたのか、また勘定系システムが侵害されたのかについては、SBIは公表していません。

個人情報が標的型詐欺に悪用される恐れ

今回のインシデントは顧客記録に関するものですが、銀行口座にアクセスされたり、資金が盗まれたりしたことを示すものではありません。SBIは顧客の預金残高は安全だとしており、業務、財務実績、事業継続性に重大な影響はないと説明しています。

しかし、流出した情報によって、詐欺の連絡がより説得力を持つ可能性があります。顧客の氏名、住所、ローン関連の詳細を入手した犯罪者は、銀行の担当者になりすまし、実際の申請情報を引き合いに出して、顧客に機密性の高い認証情報を開示するよう迫るおそれがあります。

Mitigataの共同創業者兼最高執行責任者（COO）であるSarthak Dubey氏は、NDTVへのコメントで、ローン申請書類や顧客書類は、従業員のメールアカウント、共有ドライブ、第三者の処理プラットフォームなど、銀行の中核インフラの外にあるシステムを経由する場合があると指摘しました。

調査は流出箇所の特定にとどまらない

SBIはインシデント対応手順を発動し、是正措置と予防措置を実施しているとしています。調査では、記録が本物かどうか、どの程度新しいのか、さらに別の顧客情報が危険にさらされていないかを確かめる必要があります。

今回のインシデントは、銀行が情報流出の可能性を顧客にどう伝えるべきかという問題も提起しています。 Moneylifeが報じた10月21日の声明で、Internet Freedom Foundationは、影響を受けた顧客に直接通知し、どの情報が流出したのかを説明したうえで、専用のヘルプラインを設けるようSBIに求めました。

銀行のセキュリティ担当者にとっての実践的な教訓は、中核の取引システムにとどまらず、顧客情報の所在を追跡することです。ローン処理プラットフォーム、文書リポジトリ、従業員アカウント、ベンダー環境も、アクセス権限の見直しや監視の対象に含めるべきです。ただし、これらのいずれもSBIの情報流出元として公表されてはいません。

調査担当者は、記録がいつ作成されたのか、重複するエントリが含まれていないか、同じ情報をどのシステムが保有していたのかを確認する必要があります。こうした結果から、流出したデータが現在の露出を反映したものなのか、古いデータなのか、複数の情報源から集められた情報なのかを判断しやすくなります。

セキュリティ部門と不正対策部門も、影響を受けた記録が確認され次第、連携して対応すべきです。監視では、実際のローン情報や顧客情報を引用したなりすましの試みを想定する必要があります。顧客への注意喚起では、どの情報が流出したのか、想定外の要求をどう確認すればよいのかを説明すべきです。

カスタマーサポートの手順にも注意が必要です。住所、生年月日、ローン参照番号を知っているだけで、本人確認が十分に済んだと見なしてはなりません。対応にあたっては、情報がどう流出したのかに加え、その情報を悪用してさらなるアクセスを得られないかという点にも対処する必要があります。

SBI顧客が今すぐ取るべき対応

顧客は自分の口座がハッキングされたと思い込む必要はありませんが、銀行取引やローン申請に関する予期しない連絡に警戒する必要があります。

• PIN、パスワード、ワンタイムパスワード（OTP）は絶対に教えない: 正規のように見えるメッセージや電話でも、詐欺の可能性があります。
• 要求は別経路で確認する: 不審なメッセージに記載されたリンクや電話番号は使わず、SBIの公式窓口に連絡してください。
• 口座の動きを監視する: 不正な取引があれば、直ちに銀行へ報告してください。
• 個人情報の悪用に注意する: 見覚えのないローンの勧誘、本人確認の依頼、個人情報を使って信頼させようとする電話には警戒してください。

現時点で判明している内容からは、パスワード、PIN、OTPが流出したかどうかは確認できていません。SBIが調査を完了するまでの主な懸念は、開示された個人情報が顧客を狙った攻撃に使われるおそれがある点と、銀行が流出元を特定し、さらなる悪用を防げるかどうかです。

関連記事: 犯罪者が オープンバンキングサービスを悪用して、盗んだ銀行ログイン情報をテストする手口と、資金が動く前に金融セキュリティ部門が監視すべき点を解説しています。