Proboj u banci koji je započeo izvan banke

Proboj podataka u Bank of Baroda dobio je novi zaokret. Sigurnosna tvrtka UpGuard izvijestila je u rujnu 2025. da je otkrila izloženu cloud bazu podataka treće strane koja sadrži više od 273.000 indijskih bankarskih zapisa, od kojih je otprilike 6.000 povezano s klijentima i osobljem Bank of Baroda. Baza podataka nije se nalazila unutar mreže same banke. Pripadala je dobavljaču i bila je otvorena svakome tko je znao gdje tražiti.

Ovaj detalj je važan. Kada je Bank of Baroda potvrdila proboj e-pošte zaposlenika 27. srpnja, banka je jasno rekla da su njezini osnovni bankarski sustavi ostali netaknuti. Napadači su navodno ušli kroz kompromitirani račun e-pošte zaposlenika, što im je dalo pristup internim dokumentima, identifikacijskim zapisima klijenata i kreditnim datotekama. No nalazi UpGuarda sugeriraju da izloženost nije tu stala. Zasebna cloud baza podataka, kojom je upravljala treća strana, sadržavala je dio iste vrste osjetljivih podataka — nezaštićenu i dostupnu bez autentifikacije.

Prava slaba karika: dobavljači, a ne trezori

Banke troše ogromne svote osiguravajući vlastite perimetre: vatrozide, detekciju upada, šifrirane osnovne bankarske sustave. No moderno bankarstvo funkcionira na ekosustavu vanjskih dobavljača: procesora plaćanja, analitičkih platformi, pružatelja usluga pohrane dokumenata i cloud hostova. Svaki od njih drži dio podataka o klijentima i svaki je potencijalna točka kvara koju banka ne kontrolira u potpunosti.

To je obrazac koji su istraživači istaknuli u ovom slučaju. Grupa identificirana na društvenim mrežama kao TripleX, opisana kao relativno novi akter povezan s probojem prijavljenim u svibnju, čini se da stoji iza izloženih podataka. Bez obzira na to je li cloud baza podataka bila izravna meta ili je jednostavno ostavljena neosiguranom zbog pogrešne konfiguracije, ishod je isti: zapisi o klijentima koji su trebali biti zaključani ležali su otvoreni. Kako se proboj 1TB podataka Bank of Baroda pridružio rastućem popisu cyber incidenata u Indiji, postao je još jedan primjer kako jedan kompromitirani račun ili jedan pogrešno konfiguriran poslužitelj može izazvati lančanu reakciju kroz cijeli lanac opskrbe podacima.

Zašto zaštita financijskih podataka u Indiji još uvijek zaostaje

Indijski Zakon o zaštiti digitalnih osobnih podataka bio je veliki korak naprijed na papiru, no mehanizmi provedbe, rokovi za obavještavanje o probojima i pravila o odgovornosti dobavljača još uvijek sazrijevaju u usporedbi s okvirima na drugim velikim tržištima. Banke su dužne prijaviti incidente regulatorima, ali pravila koja uređuju koliko brzo dobavljači treće strane moraju otkriti izloženosti i koje kazne slijede kada to ne učine, ostaju manje definirana. Taj jaz daje incidentima poput ovog prostora da se tiho razvijaju prije nego što ih neovisni istraživači, a ne same institucije, iznesu na vidjelo.

Za sektor koji obrađuje kreditne zapise, KYC dokumente i podatke o računima stotina milijuna klijenata, to je značajna slijepa točka. To također znači da se klijenti ne mogu uvijek osloniti na sigurnosni položaj same banke kao potpunu sliku. Podaci mogu proći kroz više ruku prije nego što budu u potpunosti zaštićeni, a najslabija karika u tom lancu često nije vidljiva vlasniku računa.

Što ovo znači za vas

Ako bankarite kod Bank of Baroda ili bilo koje velike indijske institucije, ovaj proboj podsjetnik je da sigurnost vaših podataka ovisi o više od ulaznih vrata vaše banke. Ovisi i o svakom dobavljaču s kojim vaša banka surađuje iza kulisa, a vi nemate izravan uvid u te odnose.

To ne znači da je panika opravdana, ali znači da je oprez nužan. Pratite neuobičajenu aktivnost na računu, neočekivane komunikacije vezane uz kredite ili KYC ili pokušaje phishinga koji se pozivaju na detalje koji se čine previše specifičnima da bi bili slučajnost. Napadači koji dođu do predmemorija dokumenata često koriste te informacije za osmišljavanje uvjerljivih naknadnih prijevara.

Praktični savjeti

Nekoliko praktičnih koraka može smanjiti vašu izloženost bez obzira na to kako se ovaj konkretni incident razvije:

  • Redovito pratite svoje bankovne izvatke i kreditna izvješća radi nepoznate aktivnosti, osobito u tjednima nakon bilo kakvog otkrivanja proboja.
  • Koristite upravitelj zaporki i jedinstvene vjerodajnice za bankarske portale kako se procurjela e-pošta ili predmemorija dokumenata ne bi mogli upariti s ponovno korištenim zaporkama na drugim mjestima.
  • Izbjegavajte obavljanje bankarskih transakcija putem javnog WiFi-ja; ako morate, koristite pouzdani VPN za šifriranje veze i smanjenje rizika od presretanja.
  • Omogućite višefaktorsku autentifikaciju na svakoj bankarskoj i financijskoj aplikaciji koja to nudi i svaki neželjeni zahtjev za osobnim dokumentima tretirajte sa sumnjom.
  • Izravno pitajte svoju banku koje standarde zaštite podataka zahtijeva od svojih dobavljača treće strane. Pritisak klijenata jedan je od rijetkih poluga koje guraju institucije prema jačem nadzoru dobavljača.

Proboj podataka u Bank of Baroda studija je slučaja o tome kako moderni financijski podaci putuju daleko izvan zidova same banke i kako to kretanje stvara rizik koji klijenti rijetko vide dok ne bude prekasno. Biti informiran o ovakvim incidentima i poduzimati osnovne mjere opreza s vlastitim vjerodajnicama i vezama ostaje najpouzdanija trenutno dostupna obrana.