La State Bank of India signale une fuite de données après la découverte de 3 897 dossiers de clients sur le dark web

Le 21 octobre 2026, la State Bank of India — la plus grande banque publique du pays, qui compte des centaines de millions de clients — a indiqué aux places boursières avoir identifié 3 897 dossiers de clients contenant des données à caractère personnel (PII) au sein de données prétendument divulguées sur le dark web. La banque a précisé que ce chiffre provenait d'un examen préliminaire d'environ 375 000 enregistrements retrouvés en circulation en ligne, et qu'une enquête détaillée sur l'origine et l'ampleur de l'exposition était en cours.

La SBI a déclaré avoir reçu une première alerte le 16 octobre 2026 de la part de son prestataire de veille sur les menaces ainsi que de l'équipe nationale indienne de réponse aux incidents informatiques, le CERT-In, signalant une exposition potentielle de données. La banque a activé ses procédures de réponse et de confinement des incidents cyber et a fait appel à un cabinet de cybersécurité indépendant agréé par le CERT-In pour évaluer la fuite signalée. Elle a qualifié l'incident de touchant un « très, très petit nombre de clients » et a indiqué que ses opérations bancaires centrales n'avaient pas été affectées de manière significative.

Quelles données sont concernées

D'après la couverture de la divulgation, les dossiers identifiés comprendraient des numéros de téléphone mobile, dates de naissance, noms, genre, adresses e-mail et postales, ainsi que des identifiants internes tels que les codes d'agence et de CIF (Customer Information File), auxquels s'ajoutent des métadonnées de prêts et de prospects. Les premiers articles indiquaient qu'aucun mot de passe, code PIN ni code à usage unique (OTP) ne figurait parmi les champs exposés, mais ce détail provenait de commentaires secondaires plutôt que du dépôt de la banque et doit être considéré avec prudence.

Statut

L'origine de la fuite, l'ampleur exacte du nombre de clients concernés et la question de savoir si les données provenaient des systèmes propres de la SBI ou d'un tiers restant tous à l'étude, le statut de l'incident est en cours. Pour une banque d'importance systémique, même une exposition limitée de données personnelles de clients accroît le risque d'hameçonnage ciblé et de fraude par ingénierie sociale contre les personnes dont les informations sont apparues en ligne, ce qui explique pourquoi la SBI a indiqué continuer à surveiller la situation et à coordonner son action avec les régulateurs.