有人在BreachForums上发帖，说自己拿到了印度国家银行（SBI）的客户数据库。发帖者用的名字是Siriusim，帖子里附了四份所谓的客户记录样本，还声称这是该数据集第一次被公开。
消息由CyberPulse在2026年10月16日报道，India Today随后跟进。按照帖子的说法，这批材料包含375,000行CSV数据和2,722个PDF文件。数字看着唬人，但这里有个关键问题：行数不等于人数。
行数≠受害者人数
CSV文件按行和列存数据，PDF则可能装着表单和扫描件。一个人可能对应多条申请记录，重复条目也会让行数虚高。所以37.5万行这个数字，撑不起"37.5万名客户受影响"的结论——报道本身也明确说了，这些数字无法证明受影响的独立客户数量。
帖子描述的内容包括个人客户信息、贷款申请、佐证材料、开户表单和地址信息。India Today的报道提到，材料可能涉及KYC记录、Aadhaar号码和居住地址。注意措辞：这些目前都是指控，不是调查确认的结论。
SBI尚未回应
India Today在10月19日的文章里写明，截至发稿时SBI没有对这些说法作出回应。该媒体表示已请求置评，但无法独立核实这次泄露。另一个悬而未决的点是：这批材料到底是新近流出的，还是从早先的泄露事件里回收的，目前不清楚。
现有报道也没有说明这些记录是怎么拿到的。来源无法追溯到SBI本身、其子公司，还是处理银行业务申请的服务商。报道中没有经过验证的证据指向某个被利用的漏洞、被盗的登录凭证或被攻破的服务器。
这个区别很重要。文件上印着银行的名字，不等于攻击者拿到了它的核心银行系统。真要查清楚，得先验证样本、确认数据归属，再拿声称的记录去比对系统日志，才能谈来源和规模。
如果属实，风险在哪
假设这些记录是真的，它们能支撑几类操作：
- 身份盗用——用真实个人信息拼出可信的假身份
- 贷款欺诈——申请材料本身就是现成的模板
- 定向钓鱼—— criminals 拿着申请细节打假客服电话、发假短信，听起来会格外像真的
Cybersecurity News此前报道过假冒SBI奖励应用和伪造YONO停用提醒的案例。这两个例子说明银行仿冒的手法确实存在，但它们和这次的数据声称没有证据上的关联，不能混为一谈。
现在能做什么
对客户来说，操作层面的事情很具体：收到意外的银行消息，走官方渠道核实；不要安装来路不明的APK文件；密码、PIN和一次性验证码，任何情况下都不外传。
对SBI来说，该做的是评估这项声称、保全日志，如果调查确认存在泄露，再通知受影响的客户。在那之前，这件事的性质仍然是"涉嫌数据泄露"，不是"账户已被攻破"。
一条论坛帖子、一批待验证的样本、一家尚未回应的银行——三个要素凑在一起，还构不成一次被确认的安全事件。数字可以先记住，结论得等调查。
热门跟贴