Octobre 2026 a été un mois chargé en matière de sécurité. Une compilation de Times Now recensant cinq incidents qui ont secoué internet ce mois-ci est dominée par une prétendue fuite de données impliquant la State Bank of India (SBI) et une faille critique affectant PHP, un logiciel qui fait fonctionner un très grand nombre de sites web. La compilation est avare de détails techniques, c'est pourquoi cet article se concentre sur quelque chose de plus utile : la question « fuite de données SBI : que faire », et une liste de vérifications pratiques que vous pouvez appliquer dès aujourd'hui.

Ce qu'implique l'allégation de fuite chez SBI

Selon la compilation, l'incident SBI est une fuite de données qui a suscité des inquiétudes quant à la confidentialité des données et à la sécurité en ligne. Notre couverture détaillée de la fuite KYC de SBI rapporte qu'un groupe de pirates se faisant appeler « Siriusim » affirme avoir mis en ligne les dossiers d'autant que 3,75 lakh (375 000) clients de SBI, y compris des détails KYC.

Il s'agit d'une allégation, et elle doit être traitée comme telle. D'autres pages apparaissant dans les résultats de recherche décrivent un chiffre bien plus petit, 3 897 dossiers clients, et indiquent que SBI enquête sur une possible exposition sur le dark web. Ces chiffres ne concordent pas, et nous n'avons vérifié ni l'un ni l'autre de manière indépendante. Ce qui est constant d'un rapport à l'autre, c'est le type de données en cause : les informations KYC. C'est le genre de matériel que les fraudeurs utilisent pour paraître convaincants au téléphone.

Mesures à prendre dès maintenant par les clients concernés

Vous n'avez pas besoin d'attendre un décompte définitif pour agir. Si vous détenez un compte SBI, ou n'importe quel compte bancaire, ces mesures sont judicieuses :

  • Changez vos mots de passe de banque en ligne et d'application. Utilisez un mot de passe nouveau et unique que vous n'avez utilisé nulle part ailleurs, idéalement conservé dans un gestionnaire de mots de passe.
  • Activez l'authentification multifacteur partout où votre banque et votre fournisseur de messagerie la proposent.
  • Traitez les appels inattendus avec méfiance. Des rapports circulant en ligne décrivent des escrocs au téléphone qui connaissent déjà des détails personnels. Un appelant qui cite votre nom ou vos informations de compte ne prouve pas qu'il travaille pour votre banque. Raccrochez et appelez le numéro imprimé sur votre carte ou sur le site officiel de la banque.
  • Ne partagez jamais les OTP, codes PIN ou mots de passe, même avec quelqu'un qui prétend venir de la banque.
  • Consultez régulièrement vos relevés et signalez immédiatement à votre banque toute transaction inhabituelle.
  • Sachez où signaler une fraude. Les conseils figurant dans les résultats de recherche orientent les utilisateurs indiens vers la ligne d'assistance 1930 et le portail cybercrime.gov.in pour les plaintes de fraude financière. Si de l'argent est perdu, la rapidité compte.

Les données KYC ne peuvent pas être modifiées comme un mot de passe, aussi la défense à long terme est la vigilance : surveillez l'apparition de nouveaux comptes, prêts ou cartes SIM que vous n'avez pas demandés, et méfiez-vous de tout message qui crée un sentiment d'urgence.

Ce n'est pas non plus le seul incident indien dans la couverture récente. Une allégation distincte concernant une base de données de la police du Rajasthan implique jusqu'à 70 000 identifiants utilisateurs et des détails de FIR, un rappel que des dossiers exposés peuvent alimenter des escroqueries ciblées dans tous les secteurs.

La faille PHP et comment vérifier si vos sites sont corrigés

La compilation met également en avant des failles critiques menaçant des millions de sites web, sous l'étiquette d'une crise PHP. La source ne donne aucun détail technique, et nous ne spéculerons pas sur les numéros de version ou les identifiants. Ce que tout propriétaire de site peut faire, c'est vérifier sa propre exposition :

  1. Déterminez quelle version de PHP votre site utilise. Le panneau de contrôle de votre hébergeur ou l'équipe d'assistance de votre hébergeur peut vous le dire.
  2. Consultez les annonces officielles de versions de PHP et les avis de sécurité de votre hébergeur pour connaître les dernières versions corrigées.
  3. Mettez à jour PHP ainsi que votre CMS, vos extensions et vos thèmes. De nombreux sites font tourner PHP via WordPress ou des plateformes similaires, la couche applicative compte donc aussi.
  4. Demandez directement à votre hébergeur si vous utilisez un hébergement géré ou mutualisé. De nombreux fournisseurs corrigent le serveur pour vous, mais cela vaut la peine de le confirmer.
  5. Sauvegardez avant de mettre à niveau, et examinez les journaux d'accès pour repérer toute anomalie.

Si vous ne faites que visiter des sites web plutôt que de les exploiter, il y a peu à configurer. Restez vigilant face au phishing et évitez de saisir des détails sensibles sur des sites qui se comportent étrangement.

Ce qu'un VPN protège et ne protège pas après une fuite

Il est naturel de se demander si un VPN aurait empêché un incident comme celui-ci. En général, non. Un VPN chiffre le trafic entre votre appareil et le serveur VPN, ce qui aide sur le Wi-Fi public et masque votre navigation aux réseaux locaux. Il ne protège pas les données qu'une entreprise détient déjà. Si les dossiers d'une banque fuient, votre méthode de connexion n'y est pour rien.

Un VPN ne peut pas non plus empêcher un escroc qui possède votre numéro de téléphone et vos détails KYC de vous appeler, et il ne peut pas corriger un site web vulnérable. La sécurité des appareils compte aussi : notre rapport sur Midnight Mimosa transformant des téléphones Android bon marché en nœuds proxy montre comment un téléphone compromis peut saper tout le reste de ce que vous faites.

Ce que cela signifie pour vous

Les fuites de ce type déplacent le risque de votre réseau vers votre identité. La réponse pratique est l'hygiène des comptes, la méfiance envers les contacts non sollicités et le maintien des logiciels à jour. Un VPN peut être une couche de confidentialité, mais ce n'est pas un remède contre une fuite.

Points clés à retenir

  • Traitez l'allégation SBI comme non vérifiée, mais agissez comme si vos données pouvaient être exposées.
  • Changez vos mots de passe bancaires, activez l'authentification multifacteur et ne partagez jamais les OTP.
  • Vérifiez tout appel prétendant venir de votre banque en contactant vous-même la banque.
  • Si vous exploitez un site web, confirmez votre version de PHP et appliquez les derniers correctifs.
  • Signalez rapidement les fraudes via les canaux officiels.

Si vous cherchez des conseils sur « fuite de données SBI : que faire », commencez par la liste de vérifications ci-dessus, puis lisez notre rapport complet sur la fuite KYC de SBI pour les détails de l'allégation Siriusim, et suivez les articles liés sur l'Inde et la sécurité mobile pour un contexte plus large sur les incidents de ce mois.