Un gruppo di hacker che si fa chiamare "Siriusim" afferma di aver caricato i record di ben 3,75 lakh (375.000) clienti della State Bank of India, inclusi i dettagli KYC. Il rapporto, inizialmente diffuso da India Today, descrive una presunta violazione dei dati SBI con fuga di dati KYC. L'affermazione non è verificata e non risulta che SBI l'abbia confermata. Anche così, vale la pena comprendere i rischi e adottare ora misure di precauzione ragionevoli.

Cosa affermano gli hacker e cosa ha confermato SBI

Secondo il rapporto, Siriusim afferma di aver caricato i record appartenenti a circa 3,75 lakh di clienti SBI. I dati sono descritti come sensibili e includono i record KYC (Know Your Customer). I file KYC sono i documenti d'identità e i dati personali che le banche raccolgono quando si apre o si mantiene un conto.

L'articolo originale fornisce pochi altri dettagli. Non specifica esattamente quali campi siano presenti nel presunto dataset, come siano stati ottenuti i dati o quando sia avvenuta un'eventuale intrusione. Non faremo speculazioni su questi punti. Trattate l'affermazione come tale finché SBI o una parte indipendente non la verifichi.

I gruppi di hacker a volte esagerano, riciclano vecchi dati o mescolano record reali con altri fabbricati. Ma poiché i dati KYC sono così sensibili, aspettare la conferma prima di adottare precauzioni di base è uno scambio sfavorevole.

Perché i dati KYC divulgati sono ad alto rischio per il furto d'identità e la frode SIM-swap

I record KYC tendono a raggruppare esattamente i dettagli di cui i criminali hanno bisogno per impersonare qualcuno. A seconda di ciò che è effettivamente nel dataset (cosa non ancora accertata), tali informazioni potrebbero includere nome, indirizzo, numero di telefono, data di nascita e dettagli del documento d'identità.

Ecco come questo tipo di dati viene comunemente utilizzato in modo improprio:

  • Furto d'identità: I truffatori possono usare i dati personali per aprire conti, richiedere prestiti o superare controlli di verifica a vostro nome.
  • Frode SIM-swap: Un attaccante contatta il vostro operatore mobile fingendo di essere voi e fa trasferire il vostro numero su una nuova SIM. Riceve così le vostre password monouso (OTP) e può reimpostare le password o approvare transazioni.
  • Phishing mirato: I messaggi che usano il vostro vero nome, la banca o i dettagli del conto risultano molto più convincenti. Chiamate false, SMS ed email che si spacciano per "supporto SBI" o avvisi di "aggiornamento KYC" sono un tipico seguito di qualsiasi fuga di dati bancari.

Il filo conduttore è che i dati personali possono essere usati per costruire fiducia con voi, con la vostra banca o con il vostro operatore mobile. Ecco perché una fuga di dati identificativi può essere rilevante anche quando non sono state esposte password.

Come verificare se i vostri dati sono esposti

Non esiste uno strumento di ricerca ufficiale e confermato legato a questa presunta fuga, quindi siate cauti con qualsiasi sito web che affermi di dirvi istantaneamente se siete coinvolti. Molti di questi sono trappole di phishing che chiedono proprio i dettagli che state cercando di proteggere.

Modi più sicuri per restare informati:

  1. Monitorate i canali ufficiali di SBI. Controllate il sito web verificato della banca, l'app e i account ufficiali sui social media per qualsiasi dichiarazione o avviso ai clienti.
  2. Esaminate l'attività del vostro conto. Rivedete le transazioni recenti, i servizi collegati e gli estratti conto per qualsiasi cosa non riconosciate.
  3. Controllate il vostro report creditizio. Cercate prestiti, carte o richieste che non avete avviato.
  4. Notate segnali insoliti. La perdita improvvisa del segnale mobile, OTP inaspettati o avvisi di cambi SIM possono indicare un tentativo di SIM-swap.
  5. Diffidate dei contatti non richiesti. Se qualcuno vi chiama o vi scrive in merito alla violazione, presumete che possa essere una truffa e contattate la banca tramite il suo numero ufficiale.

Passi per proteggere i vostri conti e monitorare le frodi

Questi passi sono economici e utili indipendentemente dal fatto che i vostri record facciano parte o meno di questa presunta fuga.

  • Attivate gli avvisi di transazione via SMS e notifiche dell'app per ogni addebito e accredito.
  • Impostate limiti di transazione nella vostra app bancaria ove disponibile e disabilitate le funzionalità che non utilizzate.
  • Cambiate le password e i PIN bancari e assicuratevi di non riutilizzarli altrove. Un gestore di password aiuta.
  • Abilitate un'autenticazione più forte ove offerta, invece di affidarvi solo ai codici SMS.
  • Contattate il vostro operatore mobile per chiedere informazioni su protezioni aggiuntive contro cambi SIM non autorizzati.
  • Non condividete mai OTP, PIN o immagini complete di documenti con chiunque vi contatti, anche se afferma di essere di SBI.
  • Non cliccate sui link nei messaggi di aggiornamento KYC. Aprite l'app ufficiale o digitate voi stessi l'indirizzo della banca.
  • Segnalate le frodi rapidamente. Se vedete una transazione non autorizzata, contattate subito la vostra banca e utilizzate i canali ufficiali per segnalare il crimine informatico.

Una VPN non vi protegge da una violazione avvenuta sui server di un'azienda e non fermerà da sola il phishing. Può aiutare a proteggere la vostra connessione su Wi-Fi pubblici, ma i passi sopra riportati contano molto di più in questo caso.

Cosa significa per voi

Se siete clienti SBI, il rischio pratico non è che qualcuno possa svuotare il vostro conto oggi, ma che i dettagli identificativi divulgati possano rendere le truffe e i tentativi di impersonificazione più credibili nelle prossime settimane e mesi. Poiché la violazione non è confermata, l'atteggiamento giusto è una vigilanza calma: rafforzate le vostre impostazioni, osservate eventuali attività insolite e trattate con sospetto ogni messaggio inaspettato riguardante il vostro conto.

Se non siete clienti SBI, la lezione vale comunque. I dati KYC sono in mano a banche, operatori telefonici e app fintech, e raramente controllate quanto bene siano protetti. Limitare ciò che condividete e monitorare i vostri conti sono le vostre migliori difese.

Punti chiave

L'affermazione di Siriusim sulla violazione dei dati SBI e la fuga di dati KYC non è verificata, ma il potenziale danno derivante dall'esposizione dei record KYC giustifica un'azione immediata. Attivate gli avvisi sul vostro conto, rafforzate le vostre credenziali, chiedete al vostro operatore informazioni sulla protezione dal SIM-swap e ignorate link o chiamate che vi chiedono di "verificare il KYC". Soprattutto, seguite le comunicazioni ufficiali di SBI per conferme e indicazioni, e aggiornate le vostre precauzioni se la banca emette un avviso.