O State Bank of India apresentou um First Information Report (FIR) depois de registos ligados ao seu centro de TI de Navi Mumbai terem surgido na dark web. A fuga de dados do SBI na dark web envolve um alegado total de 3,75 lakh de registos (375 000), e a polícia está a investigar a fuga e possível fraude cibernética. Eis o que está confirmado, porque é que este tipo de dados interessa aos criminosos e o que os clientes podem fazer hoje.

O que sabemos sobre a violação de dados do SBI

De acordo com o relatório, o SBI afirma que os registos foram roubados do seu centro de TI de Navi Mumbai, e o banco apresentou uma FIR. A polícia está a examinar tanto a fuga na dark web como o potencial de fraude cibernética associada.

É importante separar a alegação dos detalhes confirmados. A cobertura noticiosa do incidente aponta para dois números diferentes. Alguns relatórios citam os 3,75 lakh de registos alegados por um hacker, enquanto outra cobertura afirma que o banco encontrou 3 897 registos de clientes contendo dados pessoais e está a notificar esses clientes. Não verificámos independentemente nenhum dos números, e o artigo de origem não discrimina quais campos foram expostos. Os leitores devem considerar que o âmbito final ainda está em desenvolvimento.

O que a fonte estabelece é a sequência central: um roubo de dados de uma instalação de TI, registos a aparecer na dark web, uma queixa formal à polícia e uma investigação ao risco de fraude.

Como a venda de registos na dark web alimenta phishing e fraude de SIM-swap

Registos bancários roubados raramente são o objetivo final. São matéria-prima. Assim que os dados chegam a um mercado ou fórum da dark web, outros criminosos podem comprá-los e usá-los para tornar as suas burlas muito mais convincentes.

Phishing. Uma mensagem que o trata pelo nome, menciona o seu banco e refere detalhes reais da conta é muito mais difícil de ignorar. Os atacantes podem enviar alertas SMS falsos, e-mails ou chamadas a fazer-se passar por funcionários do banco, pedindo-lhe para "verificar" uma palavra-passe de uso único (OTP), instalar uma aplicação de acesso remoto ou clicar numa ligação para um site semelhante.

Fraude de SIM-swap. Se um criminoso tiver o seu nome, número de telefone e outros detalhes identificativos, pode tentar convencer uma operadora móvel a transferir o seu número para um SIM que controla. Como muitos bancos dependem de OTPs por SMS, uma troca bem-sucedida pode permitir-lhe intercetar os códigos que aprovam transações ou reposições de palavra-passe.

Acompanhamentos baseados em identidade. Os detalhes pessoais também podem ser combinados com outros dados vazados para responder a perguntas de segurança ou passar verificações de identidade frágeis. As fugas institucionais tendem a criar este tipo de risco a jusante muito depois de o título inicial desaparecer, como se viu na alegação de violação de dados da Polícia do Rajastão, onde os registos expostos também podem ser reutilizados por burlões.

Como verificar as suas contas e proteger tudo

Não precisa de esperar por uma notificação para tomar medidas sensatas. A maioria destas leva apenas alguns minutos.

  • Reveja as transações recentes. Verifique o seu extrato e caderneta à procura de algo unfamiliar, incluindo pequenos pagamentos de teste, que os fraudadores por vezes usam antes de levantamentos maiores.
  • Ative os alertas de transação. Notificações por SMS e na aplicação para cada débito e início de sessão dão-lhe um aviso precoce.
  • Altere as suas credenciais. Atualize as palavras-passe do net banking e do mobile banking, e não as reutilize em mais nenhum lugar. Um gestor de palavras-passe ajuda.
  • Seja cético em relação a contactos. Os bancos não pedem o seu OTP, PIN ou dados completos do cartão por telefone, SMS ou e-mail. Se alguém afirmar ser do SBI, desligue e ligue para o número impresso no seu cartão ou no site oficial.
  • Esteja atento à perda súbita de sinal móvel. Se o seu telefone perder o serviço subitamente sem explicação, contacte imediatamente a sua operadora, pois isto pode ser um sinal de SIM swap.
  • Denuncie fraudes rapidamente. Se vir uma transação não autorizada, contacte o seu banco imediatamente e denuncie-a pelos canais oficiais. A rapidez é importante para parar ou contestar transferências.
  • Responda aos avisos do banco. Se o SBI o contactar sobre o incidente, confirme que a mensagem é genuína através dos canais oficiais antes de agir, uma vez que os burlões podem imitar notificações de violação.

O que a violação diz sobre retenção de dados e encriptação

O artigo de origem não descreve como os registos foram obtidos, pelo que seria errado especular sobre a causa técnica. Ainda assim, o incidente levanta questões gerais que vale a pena colocar a qualquer grande instituição que opere instalações centrais de TI.

Primeiro, a retenção de dados: quanto menos dados pessoais uma organização guarda, e por menos tempo os guarda, menos há para roubar. Registos que já não servem um propósito operacional são uma responsabilidade.

Segundo, a encriptação e o controlo de acessos: campos sensíveis que estão encriptados em repouso e fortemente restringidos são muito menos úteis para um ladrão, mesmo que um sistema seja comprometido. Registos e monitorização robustos também ajudam as organizações a detetar movimentos de dados invulgares mais cedo.

Estes são princípios, não conclusões sobre os sistemas do SBI. A investigação pode esclarecer melhor o que aconteceu.

O que isto significa para si

Se tem conta no SBI, assuma que os burlões podem tentar explorar as notícias da fuga, quer o seu próprio registo tenha sido incluído ou não. O risco mais provável a curto prazo não é um hack dramático da sua conta, mas sim uma chamada ou mensagem de phishing bem cronometrada. Manter-se alerta a contactos não solicitados, proteger os seus OTPs e vigiar a atividade da sua conta cobrirá a maior parte do risco prático.

Uma VPN não protege contra este tipo de exposição, porque os dados foram obtidos da instituição e não da sua ligação. A higiene da conta e os alertas importam muito mais aqui.

Principais conclusões

A história da violação de dados do SBI na dark web ainda está em desenvolvimento, e os números podem mudar à medida que a polícia e o banco partilhem mais informações. Não espere por atualizações para agir. Verifique as suas contas, ative os alertas do banco, altere as suas palavras-passe e trate qualquer chamada ou mensagem inesperada sobre a sua conta com suspeita. Para outro exemplo de como dados institucionais vazados criam risco a jusante, leia a nossa cobertura da alegação de violação da Polícia do Rajastão, e reserve alguns minutos hoje para proteger a sua própria atividade bancária.