Утечка данных SBI затронула 3 897 клиентских записей государственного State Bank of India — банка с аудиторией свыше 500 млн человек. Масштаб на фоне всей клиентской базы выглядит почти статистической погрешностью, но состав скомпрометированных данных превращает инцидент в удобный набор для адресного фишинга, мошенничества с кредитами и кражи личности. Для российских ИТ-команд это ещё одно напоминание: ценность утечки определяется не только числом строк в дампе, а тем, насколько хорошо эти строки стыкуются с другими источниками.
О происшествии сообщает Dark Reading. SBI 23 октября раскрыл инцидент в уведомлении для Национальной фондовой биржи Индии. Банк подтвердил публикацию 3 897 записей в интернете, однако не уточнил, соответствуют ли они 3 897 разным людям. В публичном обращении к клиентам организация назвала число пострадавших «очень, очень небольшим» и заявила, что ключевые банковские сервисы работают без перебоев.
Перед этим на BreachForums появился пост аккаунта Siriusim, зарегистрированного незадолго до публикации. Автор утверждал, что располагает данными пользователей SBI, заявками на открытие счетов и кредитами. В описании фигурировали таблица на 375 тыс. строк и 2 722 PDF-файла. Эти цифры нельзя автоматически считать числом жертв: одна заявка может включать несколько записей, а один клиент — несколько документов. Но опубликованные образцы, по данным индийского издания Free Press Journal, содержали реальные персональные данные граждан Индии.
Банк признал компрометацию имён, пола, мобильных номеров, адресов электронной почты и проживания, дат рождения, идентификаторов банковского профиля, метаданных по кредитам и других файлов. Последующие публикации в индийских медиа указывали на возможное присутствие номеров Central KYC — единого идентификатора клиента финансового сектора, видеоданных KYC-проверки и документов, которые подают при открытии счёта или получении займа. Среди образцов был документ с данными о работодателе, опыте работы и доходе клиента.
Именно сочетание таких полей делает утечку данных SBI опаснее банального списка телефонов. Номер, дата рождения и адрес уже помогают сделать фишинговый звонок убедительнее. Информация о кредите добавляет мошеннику сценарий: представиться сотрудником банка или коллектором, назвать правдоподобные детали займа и потребовать «комиссию» либо одноразовый код. Независимый исследователь безопасности Сушант Бхардвадж считает, что основной риск в этом случае — не немедленный вывод денег со счёта, а правдоподобный обман и оформление финансовых продуктов на чужое имя.
Для Индии проблема усиливается развитым теневым рынком персональных данных. Брайан Хасси, старший вице-президент исследовательской группы Howler Cell компании Cyderes, рассказал изданию о сервисах, продающих сведения о гражданах примерно за 5 рупий за один запрос через Telegram-ботов и программные интерфейсы. В такой экосистеме старый дамп не исчезает после первой публикации: его используют как отправную точку, а недостающие сведения добирают через актуальные запросы. По номеру телефона злоумышленник может попытаться получить сведения об абоненте, работе и зарегистрированных транспортных средствах.
Это важная деталь и для банковских ИБ-команд за пределами Индии. Защита не заканчивается на том, чтобы не допустить выгрузку базы. Нужно заранее исходить из того, что часть идентификаторов клиента уже могла оказаться у атакующих из других инцидентов. Поэтому антифрод-модели, сценарии контакт-центра и процессы выдачи кредита должны оценивать не только правильность реквизитов, но и контекст запроса: внезапную смену номера, необычный канал коммуникации, спешку, попытки сброса факторов аутентификации. Сотрудникам нельзя разрешать считать знание паспортных или кредитных деталей достаточным доказательством личности — именно они чаще всего и делают звонок мошенника убедительным.
Причина инцидента пока не названа. SBI не объяснил, почему в сеть попала столь небольшая доля клиентских данных — около 0,0008% от заявленной аудитории банка. Это оставляет вероятность компрометации периферийного сервиса или отдельного процесса обработки документов, а не центральной банковской системы. Подобный сценарий для SBI уже знаком: в 2019 году незащищённый паролем сервер в дата-центре Мумбаи открыл доступ к данным клиентов сервиса SBI Quick, который использовался для SMS- и голосовых запросов по базовой информации о счетах.
Утечка данных SBI показывает неприятную арифметику современного фрода: несколько тысяч записей могут стать серьёзной проблемой, если рядом работает рынок обогащения данных. Банкам и финтеху придётся защищать не только ядро, но и каждый путь, по которому клиентские документы, заявки и результаты проверок уходят в вспомогательные системы. Вопрос уже не в том, будет ли отдельный дамп устаревать, а в том, сколько свежих сведений можно добавить к нему за несколько секунд.
