印度国家银行（SBI）在初步审查后确认了一起数据丢失事件：暗网上出现了包含个人信息的客户记录。该行在2026年10月21日提交证券交易所的文件中披露了这一发现，同时表示调查人员仍需确认这些数据的真实性、完整性和来源。

打开网易新闻 查看精彩图片

这份披露确认了数据丢失事件的存在，但没有说明信息是如何被获取的，也没有说明攻击者是否侵入了SBI的核心银行系统。该行称服务仍正常运行，核心业务、财务表现和业务连续性均未受到重大影响。

事情的起点是10月16日。SBI当天收到来自威胁情报服务商、国防网络局以及印度计算机应急响应小组（CERT-In）的警报，内容涉及客户信息疑似在暗网暴露。

调查人员审查了约375,000条记录，从中识别出3,897条包含个人可识别信息（PII）的客户记录。这个更大的数据集不应被描述为37.5万名已确认的受害者——记录条数可能包含重复条目，也不一定代表一个个独立的人。

据披露，泄露信息涉及注册手机号、出生日期、姓名、性别、电子邮箱和居住地址。SBI还列出了分行标识、客户信息文件标识、线索ID，以及与贷款记录、线索记录和相关文件关联的元数据。

这些字段已经超出通讯录的范畴。分行信息和贷款关联信息，可能让诈骗分子的假冒银行来电听起来更可信。不过，文件中并未将密码、PIN码或一次性密码列入暴露信息，也没有报告资金被盗。

此前有安全媒体曾报道过一起以“Siriusim”为名的行为者声称的SBI数据泄露事件，涉及375,000行CSV数据和2,722个PDF文件。这些说法与SBI此次披露的调查结果相互独立，本次披露也没有将事件归因于任何具名攻击者。

SBI迅速启动了应对和遏制网络事件的程序，并聘请了一家经CERT-In认可的独立网络安全机构评估情况、调查疑似泄露的范围。调查将核查数据的真实性与完整性，确定其潜在来源，判断暴露规模，并评估对客户和银行的风险。SBI表示，正在按要求落实补救和预防措施。

文件没有指出入口点、被利用的漏洞、恶意软件家族或遭入侵的服务器。因此，现有信息不足以把事件归因于勒索软件、钓鱼攻击或某个特定的软件缺陷。

另一起巴罗达银行的数据泄露报告涉及员工邮箱账户遭未授权访问。这起案例提供了银行业安全的参照背景，但并不能证明它与SBI事件存在任何关联或共享攻击手法。

对客户而言，定向钓鱼是一种潜在担忧，而非已确认的后果。CERT-In的在线诈骗公告提醒，犯罪分子会利用假冒银行消息、紧急账户警告和索取个人信息的手段来欺骗用户。

客户应通过官方银行渠道核实意外收到的消息，避免点击陌生链接，绝不分享PIN码或一次性密码，并检查对账单中是否存在未授权交易。SBI表示将继续监测事态，并按适用监管要求采取适当措施。在事件的来源和完整影响得出结论之前，还需要更多调查发现。