インド最大手銀行SBI、ダークウェブ上で顧客データ流出を確認　約3,900件の個人情報を特定、経路調査へ

要点

• インド最大の国営銀行であるインド州立銀行（SBI）が、ダークウェブ上のデータ群から3,897件の顧客個人情報を特定し、データ喪失の発生を公表した。

• 流出データには氏名、生年月日、電話番号、住所、内部ID等が含まれる一方、口座番号や残高、パスワード、公的識別番号の流出は確認されていない。

• 国家サイバー対応チーム（CERT-In）や国防機関からの警告を受けて発覚し、同行は認定監査機関による独立調査を開始した。

• ダークウェブ上では約37万5,000件の関連データが主張されているが、同行システム自体の侵害か外部委託先経由かなど流出経路は未特定となっている。

• インド最大の国営商業銀行であるインド州立銀行（State Bank of India：SBI）は2026年10月21日、証券取引所への提出書類において、データ喪失を伴うセキュリティインシデントが発生したと発表した。ダークウェブ上で流通していた約37万5,000件のデータセットを調査したところ、同行顧客の個人情報を含むレコード3,897件が確認されたという。同行は直ちに対処手順を発動し、外部の専門企業とともに原因や影響範囲の特定を進めている。

流出データの詳細となりすまし詐欺のリスク

SBIが開示した書類によると、特定された3,897件のレコードは暫定的な数値であり、データの信ぴょう性や影響範囲の検証が続けられている。該当するデータには、顧客の氏名、登録携帯電話番号、生年月日、性別、メールアドレス、現住所に加え、支店識別子や同行の内部管理番号であるCIF（顧客情報ファイル）番号、各種ローン等の見込み案件に関連するメタデータなどが含まれていた。

一方で、口座番号、預金残高、パスワード、ワンタイムパスコード（OTP）、決済カード情報、さらにはPAN（恒久口座番号）やAadhaar（アドハー）といったインドの公的本人確認番号は対象カテゴリーに含まれていない。そのため、預金の不正引き出しなど金銭に直結する直接的被害の可能性は低いとみられるものの、氏名や電話番号、住所、内部IDを悪用して同行関係者を装うなりすまし電話や詐欺メッセージなどのリスクが懸念されている。

防衛機関からの警告と初動調査の実施

事態が発覚した契機は、10月16日に外部機関から寄せられたアラートだった。インドの国家サイバー緊急対応チームであるCERT-In（Indian Computer Emergency Response Team）や国防省傘下の国防サイバー庁、および脅威インテリジェンス機関から通知を受けたことで問題が明るみに出たという。

SBIは通知を受けてインシデント対応および封じ込め手順を発動し、CERT-Inが承認する監査機関リストから独立系サイバーセキュリティ企業を選任して詳細な調査を開始した。同行は開示書類において、基幹業務の運営や財務実績、事業継続性への重大な影響はないと説明している。ただし、この説明は銀行側の事業運営に関する評価であり、顧客個人が受ける影響について述べたものではない。

犯罪フォーラムでの出品と未特定の流出経路

同行の公式開示では攻撃者名や投稿フォーラムは伏せられているが、監視アカウント「CyberPulse56」が10月16日にX（旧Twitter）上で指摘していた内容と、約37万5,000件という数値が合致している。同アカウントによれば、「Siriusim」と名乗る脅威アクターが、SBI関連データとしてCSV形式の37万5,000行および2,722件のPDF文書の流出を主張していたという。

現地メディアのThe Free Press Journalが、盗難データの売買に用いられるサイバー犯罪フォーラム「BreachForums」上の出品を調べたところ、4件のサンプルレコードが確認された。登録されていた電話番号が実在することや、通信アプリのプロフィール画像が同時に公開されたKYC（本人確認）書類の顔写真と一致することが確認されたものの、これは一部サンプルの検証にとどまり、データセット全体の真正性や出所を示すものではない。

サンプルデータは主にローン関連でKYC項目を含んでいたが、SBI本体のシステムから流出したのか、系列子会社のものか、あるいは申込手続きを担う外部委託先から流出したのかは判明していない。同行の開示でもシステム自体への侵入があったのか否かは言及されておらず、データが最初に出回った日時も明かされていない。

顧客への対応状況と類似事案

現時点でSBIは、確認された3,897件のレコードが何人分の顧客に相当するのか、また残る約37万件のデータに何が含まれているのかについて言及していない。また、2,722件とされるPDF文書が今回の調査対象に含まれているかも明かされていない状況だ。

さらに、影響を受ける可能性のある顧客への通知の有無や予定についても開示書類には記載がない。同行サイトではフィッシング報告用の窓口や国家サイバー犯罪通報窓口（1930番）が案内されているが、これは事件前の6月に更新された一般的な案内にすぎない。なお、インドでは別の国営銀行であるインド・バローダ銀行（Bank of Baroda）も、2026年7月27日にほぼ同様の文言を用いてサイバーインシデントを取引所に開示していた。