Une fuite qui a commencé en dehors de la banque

La fuite de données de la Bank of Baroda connaît un nouveau rebondissement. En septembre 2025, la société de sécurité UpGuard a signalé avoir découvert une base de données cloud tierce exposée, contenant plus de 273 000 dossiers bancaires indiens, dont environ 6 000 étaient liés à des clients et à des employés de la Bank of Baroda. La base de données ne se trouvait pas sur le réseau interne de la banque. Elle appartenait à un fournisseur et était laissée ouverte à quiconque savait où chercher.

Ce détail est important. Lorsque la Bank of Baroda a confirmé la violation de sa messagerie employé le 27 juillet, la banque avait clairement indiqué que ses systèmes bancaires centraux n’avaient pas été touchés. Selon les informations, les attaquants se sont introduits via un compte de messagerie employé compromis, ce qui leur a donné accès à des documents internes, des dossiers d’identification de clients et des fichiers de prêt. Mais les découvertes d’UpGuard laissent penser que l’exposition ne s’est pas arrêtée là. Une base de données cloud distincte, gérée par un tiers, contenait une partie du même type de données sensibles, non sécurisée et accessible sans authentification.

Le véritable maillon faible : les fournisseurs, pas les coffres-forts

Les banques dépensent des sommes colossales pour sécuriser leurs propres périmètres : pare-feu, détection d’intrusion, systèmes centraux chiffrés. Mais la banque moderne repose sur un écosystème de fournisseurs externes : processeurs de paiement, plateformes d’analyse, hébergeurs de documents et fournisseurs cloud. Chacun détient une partie des données clients, et chacun constitue un point de défaillance potentiel que la banque ne maîtrise pas entièrement.

C’est ce schéma qu’ont mis en évidence les chercheurs dans cette affaire. Un groupe identifié sur les réseaux sociaux sous le nom de TripleX, décrit comme un acteur relativement récent lié à une violation signalée en mai, semblait être à l’origine des données exposées. Que la base de données cloud ait été une cible directe ou simplement laissée sans protection suite à une mauvaise configuration, le résultat est le même : des dossiers clients qui auraient dû être verrouillés se trouvaient en accès libre. Alors que la fuite de 1 To de données de la Bank of Baroda s’ajoutait à la liste croissante des cyberincidents en Inde, elle est devenue un nouvel exemple de la manière dont un seul compte compromis ou un serveur mal configuré peut se répercuter sur toute une chaîne d’approvisionnement de données.

Pourquoi la protection des données financières en Inde reste à la traîne

La loi indienne sur la protection des données personnelles numériques (Digital Personal Data Protection Act) a représenté une avancée majeure sur le papier, mais les mécanismes d’application, les délais de notification des violations et les règles de responsabilité des fournisseurs sont encore en cours de maturation par rapport aux cadres d’autres grands marchés. Les banques sont tenues de signaler les incidents aux régulateurs, mais les règles encadrant les délais dans lesquels les fournisseurs tiers doivent divulguer les expositions, ainsi que les sanctions applicables en cas de manquement, restent moins bien définies. Cette lacune laisse à des incidents comme celui-ci le temps de se dérouler discrètement avant que des chercheurs indépendants, plutôt que les institutions elles-mêmes, ne les fassent émerger.

Pour un secteur qui traite des dossiers de prêt, des documents de connaissance client (KYC) et des détails de comptes pour des centaines de millions de clients, cela constitue un angle mort significatif. Cela signifie également que les clients ne peuvent pas toujours se fier uniquement à la posture de sécurité de leur banque pour avoir une vision complète. Les données peuvent transiter entre de nombreuses mains avant d’être pleinement protégées, et le maillon le plus faible de cette chaîne n’est souvent pas visible par le titulaire du compte.

Ce que cela signifie pour vous

Si vous êtes client de la Bank of Baroda ou de toute autre grande institution indienne, cette fuite vous rappelle que la sécurité de vos données ne dépend pas seulement de la porte d’entrée de votre banque. Elle dépend aussi de chaque fournisseur avec lequel votre banque collabore en coulisses, et vous n’avez aucune visibilité directe sur ces relations.

Cela ne justifie pas la panique, mais cela exige de la vigilance. Soyez attentifs à toute activité inhabituelle sur vos comptes, à des communications inattendues concernant un prêt ou une procédure KYC, ou à des tentatives d’hameçonnage contenant des détails trop précis pour être une coïncidence. Les attaquants qui mettent la main sur des caches de documents utilisent souvent ces informations pour élaborer des escroqueries de suivi convaincantes.

Mesures concrètes à prendre

Quelques gestes simples peuvent réduire votre exposition, quelle que soit l’évolution de cet incident particulier :

  • Surveillez régulièrement vos relevés bancaires et vos rapports de crédit pour détecter toute activité inhabituelle, surtout dans les semaines qui suivent la divulgation d’une fuite.
  • Utilisez un gestionnaire de mots de passe et des identifiants uniques pour les portails bancaires, afin qu’un courriel ou une cache de documents divulgués ne puisse pas être associé à des mots de passe réutilisés ailleurs.
  • Évitez d’effectuer des transactions bancaires sur un réseau Wi‑Fi public ; si vous ne pouvez pas faire autrement, utilisez un VPN réputé pour chiffrer votre connexion et réduire le risque d’interception.
  • Activez l’authentification multifacteur sur toutes les applications bancaires et financières qui la proposent, et traitez avec méfiance toute demande non sollicitée de documents personnels.
  • Interrogez directement votre banque sur les normes de protection des données qu’elle impose à ses fournisseurs tiers. La pression des clients est l’un des rares leviers qui poussent les institutions à renforcer leur contrôle des fournisseurs.

La fuite de données de la Bank of Baroda est une étude de cas sur la manière dont les données financières modernes circulent bien au-delà des murs de la banque, et sur la façon dont cette circulation crée un risque que les clients ne perçoivent que rarement avant qu’il ne soit trop tard. Rester informé de ces incidents et prendre des précautions de base avec vos identifiants et vos connexions reste, à ce jour, la défense la plus fiable dont vous disposez.