SBI confirma dados de clientes expostos na dark web
O State Bank of India admitiu em comunicado à bolsa que dados de clientes aparecem na dark web. A análise preliminar confirmou 3.897 registros com dados pessoais, de um total de cerca de 375 mil registros encontrados. O banco ativou resposta a incidentes com agência credenciada ao CERT-In, diz que os saldos estão seguros e que os clientes afetados foram informados individualmente.
O que aconteceu
O State Bank of India, maior banco comercial da Índia, informou às bolsas em 21 de outubro de 2026 que dados de clientes aparecem na dark web. A análise preliminar confirmou 3.897 registros com dados pessoais, de cerca de 375 mil registros encontrados. Em 23 de outubro, o banco afirmou ter avisado individualmente todos os clientes afetados por e-mail e/ou WhatsApp.
Por que importa
Os dados expostos incluem nome, celular, data de nascimento, e-mail, endereço residencial e identificadores de agência, CIF e de registros de empréstimo, o que habilita golpes telefônicos com dados reais. O banco afirma que não há impacto material nas operações, no desempenho financeiro ou na continuidade do negócio, e que os saldos estão seguros. A Internet Freedom Foundation alerta que clientes podem receber ligações de falsos funcionários da SBI capaz de citar seus dados.
O que fazer
Reforçar monitoramento de fraude e engenharia social sobre clientes afetados e repetir o aviso de nunca compartilhar OTP, PIN ou senha. Acompanhar o resultado da investigação da agência credenciada ao CERT-In sobre a origem e a extensão do vazamento, incluindo o conteúdo dos demais registros.
Para o time técnico
- Afetados
- Registros de clientes do State Bank of India · Clientes do State Bank of India: 3.897 registros com dados pessoais identificados na análise preliminar, de cerca de 375 mil registros disponíveis na dark web. Dados expostos: nome, gênero, celular registrado, data de nascimento, e-mail, endereço residencial, identificadores de agência e CIF, lead IDs e metadados de registros de empréstimo/lead e arquivos relacionados.
- Exploração
- Dados já publicados na dark web. A Internet Freedom Foundation relata que uma conta de monitoramento no X sinalizou alegação de um grupo que se autodenomina "Siriusim" de ter liberado 3,75 lakh de linhas de dados da SBI e 2.722 documentos PDF, incluindo pedidos de empréstimo e formulários de abertura de conta; o comunicado do banco não menciona esses documentos.
- Correção
- Sem correção de software. O banco ativou protocolos de resposta a incidentes e contenção, contratou agência credenciada ao CERT-In para avaliação completa e diz implementar medidas remediativas e preventivas conforme necessário.
- Vetor
- Vazamento de dados de clientes com origem e vetor técnico não divulgados. O banco diz que investigação detalhada é necessária para determinar a autenticidade, a fonte e a extensão da exposição.
- Mais detalhes
- Alertas chegaram em 16 de outubro de 2026 do provedor de inteligência de ameaças do banco, da Defence Cyber Agency e do CERT-In; a divulgação à bolsa ocorreu em 21 de outubro de 2026. A IFF destaca que o banco não detectou o vazamento por conta própria e que a obrigação de notificar cada cliente (Seção 8(6) do DPDP Act 2023, Regra 7 das DPDP Rules 2025) só passa a valer em 13 de maio de 2027. Em 23 de outubro de 2026, o banco afirmou ter informado individualmente todos os clientes afetados por e-mail e/ou WhatsApp.
Linha do tempo
Comunicado à SEBI confirma exposição de registros de clientes na dark web.
Fontes 4 fontes
- Disclosure under Regulation 30 of SEBI (LODR): Incident involving Data Loss (PDF) State Bank of India via NSE
- Data breach: SBI admits exposure of its customer data on the Dark Web The Hindu
- Data breach: SBI says it individually informed all affected customers The Hindu
- Data leak incident: SBI says customer balances completely safe The Hindu BusinessLine
- SBI cyber attack update: State Bank of India says customer balance are completely safe despite data leak The Economic Times
