Un acteur malveillant connu sous le nom de TripleX aurait publié environ 1 téraoctet de données liées aux clients de la Bank of Baroda, librement téléchargeables et contenant des numéros Aadhaar, des relevés de compte bancaire et des dossiers de prêt regroupés. Il ne s’agit pas d’une collection éparse d’enregistrements partiels. Selon les informations publiées sur cette fuite, l’ensemble de données constitue ce que les chercheurs en sécurité décrivent comme un dossier d’identité complet, le type de profil exhaustif qui transforme une exposition de données en une boîte à outils prête à l’emploi pour la fraude.

L’ampleur et la combinaison des données concernées justifient d’étudier cet incident en détail, à la fois pour ce qu’il révèle sur la manière dont les violations s’aggravent avec le temps et pour ce que les personnes touchées peuvent concrètement faire à ce sujet.

Ce que contient réellement l’ensemble de données TripleX

L’archive divulguée associerait des numéros Aadhaar, le numéro d’identité biométrique quasi universel en Inde, à des détails de comptes bancaires et à des dossiers de prêt. Chacun de ces types de données est sensible en soi. Les numéros Aadhaar sont utilisés dans les services gouvernementaux, les opérations bancaires, l’enregistrement télécom et d’innombrables processus de vérification. Les relevés de compte bancaire révèlent les soldes, les habitudes de transaction et les informations sur les titulaires. Les dossiers de prêt ajoutent une couche supplémentaire, incluant souvent des informations sur les revenus, les détails d’emploi et l’historique de remboursement.

Lorsque ces trois catégories figurent dans un seul fichier au lieu d’être dispersées dans des violations distinctes, quiconque télécharge l’ensemble de données obtient un profil bien plus exploitable que ne le fournirait une fuite isolée. Les chercheurs en fraude qui suivent les conséquences des grandes fuites de données indiennes décrivent un schéma familier : dans les semaines suivant la disponibilité d’un tel ensemble de données, les personnes touchées commencent à signaler des tentatives de phishing, des fraudes au prêt et des escroqueries par usurpation d’identité qui font référence à des détails de compte précis, conférant à l’arnaque une crédibilité artificielle.

Pourquoi l’association de l’Aadhaar avec les données bancaires démultiplie le risque

La raison pour laquelle cette fuite est considérée comme plus grave qu’un vol de justificatifs classique tient à la manière dont la vérification d’identité fonctionne en Inde. Les numéros Aadhaar servent de clé maîtresse pour confirmer l’identité dans les services financiers, les portails gouvernementaux et les opérateurs télécoms. Lorsqu’un escroc détient déjà le numéro Aadhaar d’une cible, ainsi que ses coordonnées bancaires et les détails de ses prêts, il peut construire des prétextes convaincants, comme se faire passer pour un représentant de la banque discutant d’un prêt réel, en se référant à un solde de compte réel, ou lancer une tentative de fraude basée sur l’identité qui nécessiterait autrement bien plus d’ingénierie sociale.

C’est la distinction fondamentale entre une exposition partielle de données et un dossier complet. Une adresse e-mail ou un numéro de téléphone divulgué donne seulement un point d’entrée à l’escroc. Les numéros Aadhaar combinés aux détails des comptes financiers leur fournissent la substance nécessaire pour rendre une attaque convaincante dès le premier contact.

En quoi cette violation est liée à l’exposition cloud antérieure de la Bank of Baroda

Ce n’est pas la première fois que des données de clients de la Bank of Baroda se retrouvent en dehors du contrôle de la banque. En septembre 2025, la société de sécurité UpGuard a signalé avoir découvert une base de données cloud tierce exposée contenant plus de 273 000 enregistrements bancaires indiens, un incident détaillé dans un rapport antérieur expliquant comment un fournisseur cloud a exposé 6 000 enregistrements liés à la banque. Cette exposition provenait d’une base de données mal configurée d’un fournisseur tiers, et non d’une attaque directe contre les systèmes de la banque, mais elle pointait le même problème sous-jacent désormais visible dans la fuite TripleX : des données financières et d’identité sensibles circulant via l’infrastructure de fournisseurs et de cloud sans protections cohérentes.

Pris ensemble, ces deux incidents suggèrent un schéma récurrent plutôt qu’un événement isolé. Les grandes institutions financières s’appuient de plus en plus sur des fournisseurs cloud tiers et des sous-traitants de données, et chaque partie supplémentaire qui manipule les dossiers clients introduit un nouveau point où une mauvaise configuration, un contrôle d’accès faible ou une violation peut exposer une nouvelle fois les mêmes données sous-jacentes.

Ce que cela signifie pour vous

Si vous êtes client de la Bank of Baroda ou si vous détenez des comptes financiers liés à l’Aadhaar en Inde, cette fuite mérite d’être prise au sérieux, même si vous n’avez pas reçu de notification directe. Les numéros Aadhaar étant réutilisés dans de très nombreux services, une exposition dans un ensemble de données peut avoir des répercussions bien au-delà d’une seule relation bancaire.

Commencez par surveiller attentivement vos relevés bancaires et vos comptes de prêt pour détecter toute activité inhabituelle. Soyez sceptique face aux appels, SMS ou courriels non sollicités qui font référence à des détails précis de compte ou de prêt, car les escrocs utilisent de plus en plus les données divulguées pour donner une apparence légitime à leurs contacts frauduleux. Pensez à mettre en place des alertes de transaction si ce n’est pas déjà fait, et vérifiez si votre banque ou un bureau de crédit propose des services de surveillance d’identité signalant une utilisation inhabituelle de votre numéro Aadhaar ou de vos identifiants financiers.

Il est également utile de passer en revue les tiers et les applications qui ont accès à vos informations Aadhaar ou bancaires, car des violations comme celle-ci proviennent souvent non pas de la banque elle-même, mais de fournisseurs et d’intermédiaires manipulant ces données pour le compte de la banque, la même dynamique observée lors de l’exposition cloud antérieure de la Bank of Baroda.

Garder une longueur d’avance sur la prochaine fuite

La fuite de données Aadhaar de la Bank of Baroda nous rappelle que les données d’identité n’ont pas besoin de provenir d’un piratage unique et spectaculaire pour devenir dangereuses. Des fragments collectés au fil du temps à partir de différentes expositions, une fois combinés, peuvent créer ce type de profil complet qui rend la fraude bien plus facile à exécuter de manière convaincante. Vérifier régulièrement l’activité de vos comptes, limiter le nombre de services qui conservent votre numéro Aadhaar et traiter avec prudence les communications financières non sollicitées sont des mesures pratiques qui réduisent votre exposition, quelle que soit la manière ou le moment où vos données ont été compromises.