TECHTech NO. ---

Serangan siber SBI: yang diungkap bank dan yang belum terverifikasi

State Bank of India menyatakan data pribadi dari 3.897 data nasabah muncul di dark web. Berikut yang dikonfirmasi bank, isi klaim yang lebih besar di forum, aturan pelaporan India yang berlaku, dan cara nasabah melindungi diri.

By Rowan Ashby Published 21.10.26 07:46 UTC 7 min read

Fasad gedung bersejarah kantor cabang State Bank of India di Chandni Chowk, Delhi Lama — Pinakpani / Wikimedia Commons / CC BY-SA 4.0 · Source

Poin penting

State Bank of India (SBI), bank terbesar di India, melaporkan kepada bursa efek bahwa sebuah insiden siber menyebabkan 3.897 data nasabah yang memuat informasi pribadi muncul di dark web, menurut pemberitaan atas laporan resminya pada 21 Oktober 2026.
Bank tersebut menyatakan 3.897 data itu teridentifikasi dalam tinjauan awal terhadap sekitar 375.000 data yang ditemukan daring. Sejak 16 Oktober, seorang pelaku ancaman mengklaim memiliki kumpulan data yang lebih besar itu, ditambah 2.722 dokumen PDF, di sebuah forum kejahatan siber.
SBI menyatakan insiden ini tidak diperkirakan berdampak material terhadap operasi inti, kinerja keuangan, maupun kelangsungan usahanya, dan bank telah menunjuk lembaga keamanan siber independen untuk menilai kebocoran tersebut.
Pemberitaan yang ditinjau Bullquill tidak menunjukkan bahwa kata sandi, kredensial net banking, atau PIN UPI ikut terekspos. Keaslian, asal, dan cakupan penuh kumpulan data yang diklaim masih belum terverifikasi.
Aturan India mewajibkan pelaporan insiden secara cepat kepada CERT-In (dalam 6 jam) dan kepada Reserve Bank of India. Kewajiban pemberitahuan kebocoran berdasarkan kerangka Digital Personal Data Protection (DPDP) dijadwalkan mulai berlaku pada Mei 2027.

Apa yang telah diungkap SBI secara resmi

Dalam laporan keterbukaan informasi kepada bursa efek India, yang diberitakan Reuters dan sejumlah media India pada 21 Oktober, SBI menyatakan telah mengidentifikasi insiden siber yang menyebabkan informasi identitas pribadi dari 3.897 data nasabah muncul di dark web. Bank menyebut temuan ini sebagai hasil analisis awal terhadap sekitar 3,75 lakh (375.000) data yang beredar daring.

Menurut pemberitaan tersebut, SBI menerima peringatan pada 16 Oktober tentang kemungkinan terpaparnya data nasabah. Sunday Guardian, ketika menguraikan laporan itu, menyebut tiga sumber peringatan: penyedia layanan intelijen ancaman milik bank, Defence Cyber Agency, dan Indian Computer Emergency Response Team (CERT-In). Uraian India.com atas laporan tersebut menyebut penyedia intelijen ancaman dan CERT-In.

Jenis data yang ditandai dalam tinjauan awal SBI, sebagaimana diberitakan Reuters melalui Deccan Chronicle, mencakup nama nasabah, nomor telepon seluler, tanggal lahir, alamat email, alamat tempat tinggal, pengenal cabang dan nasabah, serta catatan terkait pinjaman. Bullquill tidak melihat dan tidak mereproduksi data apa pun.

Bank menyatakan telah mengaktifkan prosedur tanggap insiden siber dan penahanan, serta melibatkan lembaga keamanan siber independen untuk melakukan penilaian menyeluruh. Bank juga menegaskan bahwa kebocoran itu "tidak diperkirakan berdampak material" terhadap operasi bisnis intinya, menurut laporan Reuters. India.com mengutip laporan tersebut yang menyatakan bahwa fungsi bisnis inti "tetap beroperasi normal tanpa gangguan."

SBI juga berhati-hati mengenai hal-hal yang belum dikonfirmasinya. Bank menyatakan diperlukan investigasi terperinci untuk memastikan apakah data yang terekspos asli dan lengkap, serta untuk mengidentifikasi sumbernya. Bank belum menyebut nama penyerang dan, dalam pemberitaan yang ditinjau, belum menjelaskan bagaimana data tersebut diperoleh.

Klaim lebih besar yang beredar sejak 16 Oktober

Pengungkapan ini menyusul klaim daring selama beberapa hari. Pada 16 Oktober, sebuah akun keamanan siber di X menyoroti unggahan di BreachForums, sebuah forum kejahatan siber, oleh pelaku ancaman yang memakai nama "Siriusim," menurut Free Press Journal. Pelaku mengklaim memiliki sekitar 375.000 data nasabah dalam bentuk lembar kerja dan 2.722 dokumen PDF yang diduga terkait dengan SBI dan kemungkinan anak perusahaannya. Materi tersebut disebut mencakup permohonan pinjaman, dokumen keuangan pendukung, dan data know-your-customer (KYC).

Free Press Journal melaporkan bahwa pelaku mengunggah sejumlah kecil contoh data secara terbuka dan nomor telepon dalam contoh tersebut tampaknya valid. Media itu menegaskan bahwa hal ini tidak membuktikan seluruh kumpulan data asli, baru, atau diambil dari sistem SBI sendiri, alih-alih dari anak perusahaan atau penyedia layanan pihak ketiga.

Selisih antara kedua angka itu penting. Laporan SBI mengonfirmasi informasi pribadi dalam 3.897 data; klaim di forum merujuk pada kumpulan data sekitar 100 kali lebih besar. Rumusan bank menunjukkan bahwa kumpulan yang lebih besar itu adalah kelompok data yang ditinjau, bukan jumlah nasabah terdampak yang telah dikonfirmasi. Sampai penilaian independen selesai, baik angka 375.000 maupun arsip PDF yang diklaim tidak boleh dianggap sebagai fakta yang sudah pasti.

Insiden siber SBI: yang dikonfirmasi bank vs. yang diklaim daring (berdasarkan pemberitaan hingga 21 Oktober 2026)
Aspek	Pengungkapan SBI (laporan ke bursa efek)	Klaim di dark web (belum terverifikasi)
Jumlah data	3.897 data nasabah yang memuat informasi pribadi	Sekitar 375.000 data
Dokumen	Tidak disebutkan	2.722 dokumen PDF
Jenis data	Nama, nomor telepon seluler, tanggal lahir, alamat email dan tempat tinggal, pengenal cabang/nasabah, catatan pinjaman	Permohonan pinjaman, dokumen keuangan, data KYC, rincian identitas
Peringatan pertama / unggahan pertama	Peringatan diterima 16 Oktober	Unggahan forum disorot 16 Oktober
Atribusi	Tidak ada penyerang yang disebut	Pelaku yang memakai nama "Siriusim"
Dampak bisnis	Tidak diperkirakan berdampak material terhadap operasi inti	Tidak berlaku
Status verifikasi	Awal; lembaga independen dilibatkan	Belum diverifikasi secara independen

Sumber: Reuters melalui Deccan Chronicle; India.com; Free Press Journal; Sunday Guardian.

Apa yang diwajibkan aturan India

CERT-In: enam jam

Berdasarkan arahan yang diterbitkan pada 28 April 2022 menurut pasal 70B(6) Information Technology Act, 2000, penyedia layanan, perantara, pusat data, badan hukum, dan instansi pemerintah wajib melaporkan insiden siber tertentu kepada CERT-In dalam waktu enam jam sejak mengetahui atau diberi tahu tentang insiden tersebut. Daftar insiden yang wajib dilaporkan mencakup kebocoran data. Arahan itu mulai berlaku pada 27 Juni 2022. Dalam kasus ini, CERT-In sendiri dilaporkan termasuk lembaga yang memperingatkan SBI, dan bank belum mengumumkan kapan laporannya sendiri disampaikan kepada lembaga tersebut.

Reserve Bank of India

Bank juga melapor kepada regulatornya. Surat edaran RBI tahun 2016 tentang kerangka keamanan siber bagi bank meminta bank melaporkan insiden keamanan siber yang tidak biasa, baik yang berhasil maupun yang baru berupa percobaan, kepada bank sentral dalam dua hingga enam jam, disertai pembaruan lanjutan seiring berkembangnya informasi. Dalam pemberitaan yang ditinjau, RBI belum memberikan komentar publik tentang insiden SBI.

Sebagai perusahaan tercatat, SBI tunduk pada aturan keterbukaan informasi Securities and Exchange Board of India (SEBI), yang mewajibkan peristiwa material segera dilaporkan kepada bursa efek. Laporan bulan Oktober itu merupakan saluran resmi yang membuat insiden ini diketahui publik.

UU dan Peraturan DPDP

Digital Personal Data Protection Act, 2023 India mewajibkan organisasi memberi tahu Data Protection Board dan individu terdampak tentang kebocoran data pribadi. Prosedur terperincinya diatur dalam Rule 7 DPDP Rules, 2025, yang diundangkan pada November 2025. Ketentuan itu mewajibkan pemberitahuan kepada Board dan setiap orang terdampak "tanpa penundaan," diikuti laporan terperinci kepada Board dalam 72 jam. Berdasarkan pemberlakuan bertahap yang diuraikan oleh firma hukum, termasuk AZB & Partners, Rule 7 berlaku 18 bulan setelah diundangkan, yaitu sekitar Mei 2027. Artinya, kewajiban pemberitahuan kebocoran secara penuh menurut kerangka DPDP belum berlaku untuk insiden ini, meskipun aturan-aturan lain di atas sudah berlaku.

Apa yang dapat dilakukan nasabah

Karena data yang dilaporkan mencakup nama, nomor telepon, dan rincian pinjaman, risiko yang paling mungkin bagi orang terdampak adalah penipuan yang terarah, seperti telepon atau pesan yang menyebut data pribadi asli agar tampak sah. Langkah pencegahan standar, sejalan dengan panduan yang diterbitkan bank dan otoritas India, antara lain:

Jangan pernah membagikan OTP, PIN UPI, rincian kartu, atau kata sandi net banking, bahkan kepada orang yang mengaku dari SBI atau regulator.
Waspadai telepon tak terduga tentang pembaruan KYC, persetujuan pinjaman, atau pemblokiran rekening, dan hubungi balik melalui nomor yang tercantum di situs web resmi bank.
Hindari mengeklik tautan atau memasang aplikasi yang dikirim lewat pesan, dan tolak permintaan untuk membagikan layar.
Aktifkan notifikasi transaksi melalui SMS dan email, serta periksa mutasi rekening secara rutin.
Gunakan kata sandi net banking yang kuat dan unik, serta selalu perbarui ponsel dan aplikasi.
Segera laporkan dugaan penipuan kepada bank, serta ke saluran bantuan kejahatan siber nasional 1930 atau National Cyber Crime Reporting Portal (cybercrime.gov.in).

Konteks: bank milik negara kedua dalam tiga bulan

Pengungkapan SBI ini terjadi setelah Bank of Baroda, bank milik negara lainnya, menyatakan pada Juli 2026 bahwa data nasabah dan dokumen internal telah muncul di sebuah situs dark web. Reuters saat itu melaporkan bahwa bank tersebut mengaitkan insiden itu dengan akun email karyawan yang dibobol dan menyatakan sistem perbankan intinya tidak diakses. Kedua kasus memiliki pola yang sama: data lebih dulu muncul di forum kriminal, lalu bank mengonfirmasi cakupan yang lebih sempit sementara investigasi berlanjut.

Apa artinya

Untuk saat ini, fakta yang terkonfirmasi masih terbatas: SBI mengakui bahwa informasi pribadi dari 3.897 data nasabah terekspos, menyatakan sistem intinya berjalan normal, dan telah menugaskan penilaian independen. Angka yang jauh lebih besar terkait klaim di forum belum terverifikasi, dan asal data tersebut, apakah dari sistem SBI sendiri, anak perusahaan, atau vendor, belum dapat dipastikan.

Pertanyaan utama yang masih terbuka adalah apakah tinjauan independen akan mengubah jumlah tersebut, bagaimana data itu keluar dari kendali bank, dan apakah SBI akan menghubungi nasabah terdampak secara langsung. Kasus ini juga menyoroti celah dalam rezim privasi India: sampai ketentuan pemberitahuan kebocoran DPDP berlaku pada 2027, pemberitahuan kepada individu terutama bergantung pada aturan sektoral dan kebijakan bank sendiri. Nasabah yang menerima telepon atau pesan tidak biasa yang menyebut data pribadi sebaiknya menganggapnya sebagai kemungkinan upaya penipuan dan memverifikasinya melalui saluran resmi.

Pertanyaan umum

Berapa nasabah SBI yang terdampak serangan siber?

Laporan SBI kepada bursa efek, sebagaimana diberitakan pada 21 Oktober 2026, menyatakan informasi pribadi dari 3.897 data nasabah muncul di dark web. Seorang pelaku ancaman mengklaim sekitar 375.000 data, tetapi angka yang lebih besar itu belum diverifikasi secara independen.

Apakah kata sandi atau PIN UPI nasabah SBI bocor?

Pemberitaan atas laporan SBI menyebut nama, nomor telepon seluler, tanggal lahir, alamat email dan tempat tinggal, pengenal, serta catatan pinjaman. Pemberitaan itu tidak menunjukkan bahwa kata sandi, kredensial net banking, atau PIN UPI ikut terekspos.

Apakah net banking SBI masih berjalan normal?

SBI menyatakan insiden ini tidak diperkirakan berdampak material terhadap operasi inti, kinerja keuangan, maupun kelangsungan usahanya, dan fungsi bisnis inti tetap beroperasi normal.

Apa yang sebaiknya dilakukan nasabah SBI sekarang?

Jangan pernah membagikan OTP, PIN, atau kata sandi, verifikasi telepon tak terduga melalui nomor di situs web resmi SBI, aktifkan notifikasi transaksi, dan laporkan dugaan penipuan kepada bank, saluran bantuan 1930, atau cybercrime.gov.in.

Apakah UU DPDP mewajibkan SBI memberi tahu nasabah?

UU DPDP dan Rule 7 DPDP Rules, 2025 mewajibkan pemberitahuan kebocoran kepada Data Protection Board dan individu terdampak, tetapi Rule 7 dijadwalkan berlaku sekitar Mei 2027 sesuai pemberlakuan bertahap. Aturan pelaporan CERT-In dan RBI sudah berlaku.