印度最大銀行 SBI 坦承 3,897 筆客戶資料現身暗網：姓名、手機、生日全外洩

印度國家銀行 10 月 21 日向交易所申報，約 37.5 萬筆暗網資料中初查有 3,897 筆客戶個資，含手機號碼、出生日期與住址；銀行已啟動事件應變並委託獨立資安公司調查。

印度第一大銀行印度國家銀行（State Bank of India，SBI）在 10 月 21 日向證券交易所提交文件，承認一起疑似客戶資料外洩事件：約 37.5 萬筆在暗網流傳的紀錄中，初步分析確認 3,897 筆含有客戶個人識別資訊（PII），包括姓名、性別、註冊手機號碼、出生日期、電子郵件、住址，以及分行與客戶資訊檔（CIF）識別碼等。

10 月 16 日接獲警報，暗網資料含貸款相關紀錄

根據 SBI 的申報文件，銀行在 10 月 16 日接獲威脅情資服務商、印度國防網路局（Defence Cyber Agency）與國家電腦緊急應變小組（CERT-In）的通報，指出疑似有該行客戶資料出現在暗網上。初步比對後發現，外洩資料除了基本個資，還包含 lead ID、貸款與商機紀錄相關的後設資料及相關文件。

值得注意的是，帳戶餘額、密碼、一次性驗證碼、卡片資訊，以及 PAN、Aadhaar 等政府身分證件號碼，並不在這批確認外洩的資料類別中。但資安媒體 The Hacker News 提醒，姓名、手機號碼、出生日期、住址加上銀行內部客戶識別碼，正是冒充銀行來電或訊息進行社交工程詐騙的典型材料，客戶仍須提高警覺。

啟動事件應變：核心業務聲稱不受影響

SBI 表示已啟動網路事件應變與控制流程，並委託一家經 CERT-In 認可的獨立資安公司進行調查，以釐清資料的真實性、來源與波及範圍。同時，銀行也強調核心業務運作正常，財務表現與營運連續性未受實質影響，並向客戶發布防範釣魚與詐騙的指引。

這起事件也是今年全球金融業資料外洩潮中的最新一例。當 37.5 萬筆紀錄只要出現一次，就能讓數千名客戶的個資暴露在暗網，企業的資料治理必須從「事後應變」前移到「事前管控」：誰能存取什麼資料、存取紀錄是否可稽核，都該是產品設計的一部分。這也是看店勢把權限與資料安全放在產品設計核心的原因。

資料來源

• The Economic Times：SBI flags dark web exposure of 3,897 customer records
• The Times of India：SBI confirms data leak, appoints cybersecurity agency to conduct assessment
• The Hacker News：State Bank of India Confirms Data Leak After 3,897 Customer Records Found on Dark Web