SBIへのサイバー攻撃：銀行が開示した内容と未確認の情報

要点

• インド最大の銀行であるインドステイト銀行（SBI）は、サイバーインシデントにより、個人情報を含む顧客記録3,897件がダークウェブ上に出現したと証券取引所に報告しました。2026年10月21日付の同行の開示に関する報道によるものです。
• 同行によると、この3,897件は、インターネット上で見つかった約375,000件の記録を予備的に調査した結果、特定されたものです。10月16日以降、ある脅威アクターがサイバー犯罪フォーラムで、このより大きなデータセットと2,722件のPDF文書を保有していると主張していました。
• SBIは、今回のインシデントが中核業務、財務実績、事業継続に重大な影響を及ぼすことは想定していないとし、流出の評価のため独立したサイバーセキュリティ機関に依頼したと説明しました。
• Bullquillが確認した報道では、パスワード、ネットバンキングの認証情報、UPIのPINが流出したことは示されていません。主張されているデータセットの真正性、出所、全体の規模は依然として確認されていません。
• インドの規則では、インシデントをCERT-In（6時間以内）とインド準備銀行（RBI）に速やかに報告することが義務付けられています。デジタル個人データ保護（DPDP）制度に基づく漏えい通知義務は、2027年5月に施行される予定です。

SBIが公式に開示した内容

ロイターとインドの複数のメディアが10月21日に報じたインドの証券取引所への開示で、SBIは、顧客記録3,897件の個人識別情報がダークウェブ上に出現したサイバーインシデントを特定したと明らかにしました。同行はこれを、ネット上で出回っていた約3.75ラク（375,000件）の記録に対する予備的分析の結果だと説明しています。

報道によると、SBIは10月16日、顧客データが流出した可能性についての警告を受け取りました。サンデー・ガーディアンは開示内容を伝える中で、警告の出所として、同行の脅威インテリジェンス・サービス提供業者、国防サイバー庁（Defence Cyber Agency）、インド・コンピューター緊急対応チーム（CERT-In）の3つを挙げました。India.comの記事は、脅威インテリジェンス提供業者とCERT-Inに言及しています。

デカン・クロニクルを通じたロイターの報道によると、SBIの予備調査で確認されたデータ項目には、顧客の氏名、携帯電話番号、生年月日、メールアドレス、住所、支店・顧客の識別番号、融資関連の記録が含まれます。Bullquillはこれらのデータを一切閲覧しておらず、転載もしていません。

同行は、サイバーインシデント対応および封じ込めの手順を発動し、独立したサイバーセキュリティ機関に包括的な評価を依頼したと述べました。ロイターの報道によると、同行は今回の流出について、中核業務に「重大な影響を及ぼすことは想定されていない」と強調しました。India.comは、中核業務機能は「混乱なく通常どおり稼働を続けている」とする開示内容を引用しています。

SBIは、確認していない事柄についても慎重な姿勢を示しています。流出したデータが本物で完全なものかどうかを確かめ、その出所を特定するには詳細な調査が必要だとしています。同行は攻撃者の名前を挙げておらず、確認された報道の範囲では、記録がどのように取得されたかも説明していません。

10月16日から出回っている、より大きな主張

今回の開示は、数日間にわたるネット上の主張を受けたものです。フリー・プレス・ジャーナルによると、10月16日、X上のサイバーセキュリティ関連アカウントが、サイバー犯罪フォーラム「BreachForums」に「Siriusim」という名前を使う脅威アクターが投稿した内容を取り上げました。このアクターは、SBIおよびその子会社に関連するとされる、スプレッドシート形式の顧客記録約375,000件と2,722件のPDF文書を保有していると主張しました。資料には、融資申込書、裏付けとなる財務書類、本人確認（KYC）記録が含まれるとされています。

フリー・プレス・ジャーナルは、このアクターが少数のサンプル記録を公開しており、サンプル内の電話番号は有効なものとみられると報じました。一方で同紙は、それによってデータセット全体が本物である、最近のものである、あるいは子会社や外部委託先ではなくSBI自身のシステムから取得されたものであることが証明されるわけではないと強調しています。

2つの数字の差は重要です。SBIの開示が確認しているのは3,897件の記録に含まれる個人情報であり、フォーラムでの主張はその約100倍の規模のデータセットを指しています。同行の表現からは、より大きなデータセットは同行が調査した対象全体であり、影響を受けた顧客数として確定したものではないことがうかがえます。独立した評価が完了するまでは、375,000件という数字も、主張されているPDFのアーカイブも、確定した事実として扱うべきではありません。

出所：デカン・クロニクル経由のロイター、India.com、フリー・プレス・ジャーナル、サンデー・ガーディアン

インドの規則が求めること

CERT-In：6時間以内

2000年情報技術法第70B条(6)に基づき2022年4月28日に出された指示により、サービス提供者、仲介者、データセンター、法人、政府機関は、特定のサイバーインシデントを認知した時点または通知を受けた時点から6時間以内にCERT-Inへ報告しなければなりません。報告対象のインシデントには、データ侵害やデータ漏えいが含まれます。この指示は2022年6月27日に施行されました。今回のケースでは、CERT-In自体がSBIに警告した機関の一つだったと報じられており、同行は自らが同機関に報告した時期を公表していません。

インド準備銀行（RBI）

銀行は規制当局にも報告します。銀行向けサイバーセキュリティの枠組みに関するRBIの2016年の通達は、成功したか未遂かを問わず、通常とは異なるサイバーセキュリティ・インシデントを2〜6時間以内に中央銀行に報告し、情報の進展に応じて続報を提出するよう銀行に求めています。確認した報道の範囲では、RBIはSBIのインシデントについて公にコメントしていませんでした。

証券市場への開示

上場企業であるSBIは、インド証券取引委員会（SEBI）の開示規則の対象であり、重要な事象は速やかに証券取引所に報告する必要があります。10月の開示は、今回のインシデントが公になった公式の経路です。

DPDP法とDPDP規則

インドの2023年デジタル個人データ保護法（DPDP法）は、個人データの漏えいが発生した場合、データ保護委員会と影響を受けた個人の双方に通知することを組織に義務付けています。詳細な手続きは、2025年11月に告示された2025年DPDP規則の規則7に定められています。同規則は、委員会と影響を受けた各個人に「遅滞なく」通知し、その後72時間以内に委員会へ詳細な報告書を提出することを求めています。AZB & Partnersなどの法律事務所が説明する段階的施行によると、規則7は告示から18か月後、2027年5月ごろに施行されます。つまり、DPDP制度に基づく完全な法定漏えい通知義務は今回のインシデントにはまだ適用されませんが、上記のその他の規則はすでに適用されています。

顧客ができること

報じられたデータ項目には氏名、電話番号、融資の詳細が含まれるため、影響を受けた人にとって最も起こりやすいリスクは、本物の個人情報を引用して正規の連絡を装う電話やメッセージなど、標的を絞った詐欺です。インドの銀行や当局が公表している指針に沿った標準的な予防策には、次のようなものがあります。

• SBIや規制当局を名乗る相手であっても、OTP、UPIのPIN、カード情報、ネットバンキングのパスワードは決して教えないでください。
• KYC情報の更新、融資の承認、口座の凍結に関する予期しない電話には注意し、銀行の公式ウェブサイトに掲載された番号にかけ直してください。
• メッセージで送られてきたリンクをクリックしたり、アプリをインストールしたりせず、画面共有の依頼には応じないでください。
• SMSとメールによる取引通知を有効にし、明細を定期的に確認してください。
• 強力で使い回しのないネットバンキング用パスワードを使い、スマートフォンとアプリを最新の状態に保ってください。
• 詐欺の疑いがある場合は、直ちに銀行に報告するとともに、全国サイバー犯罪ヘルプライン1930または全国サイバー犯罪報告ポータル（cybercrime.gov.in）に通報してください。

背景：3か月で2行目の国営銀行

SBIの開示に先立ち、別の国営銀行であるバンク・オブ・バローダは2026年7月、顧客データと内部文書がダークウェブのサイトに出現したと発表していました。ロイターは当時、同行がこのインシデントを従業員のメールアカウントの侵害と関連付け、中核の銀行システムへのアクセスはなかったと説明したと報じました。2つのケースには共通のパターンがあります。まず犯罪フォーラムにデータが現れ、調査が続く中で銀行がより限定的な範囲を確認するという流れです。

影響と意味

現時点で確認されている事実は限られています。SBIは顧客記録3,897件の個人情報が流出したことを認め、中核システムは通常どおり稼働しているとし、独立した評価を依頼しました。フォーラムでの主張に関連するはるかに大きな数字は確認されておらず、データの出所がSBI自身のシステムなのか、子会社なのか、委託先なのかも明らかになっていません。

主な未解決の問題は、独立調査によって件数が変わるかどうか、データがどのようにして同行の管理外に出たのか、そしてSBIが影響を受けた顧客に直接連絡するかどうかです。今回の件は、インドのプライバシー制度の空白も浮き彫りにしています。DPDPの漏えい通知規則が2027年に施行されるまで、個人への通知は主に業界ごとの規則と銀行自身の判断に委ねられています。個人情報に言及する不審な電話やメッセージを受け取った顧客は、詐欺の可能性があると考え、公式の窓口を通じて確認すべきです。

出典

• Deccan Chronicle (Reuters): SBI reports cyberattack, 3,897 customer records exposed on dark web
• Business Standard: SBI reports cyberattack exposing 3,897 customer records on dark web
• India.com: SBI confirms data breach, core banking not affected
• Free Press Journal: SBI, subsidiaries' customer data allegedly on dark web
• Sunday Guardian: SBI confirms cyberattack as hacker group claims 3.75 lakh records
• CERT-In：公式ウェブサイトおよび第70B条(6)に基づく2022年の指示
• Linklaters: India's cyber security framework and breach reporting obligations
• Moneylife: RBI's cyber security framework for banks
• AZB & Partners: DPDP Act phased rollout and compliance milestones
• The Star (Reuters): Customer data from Bank of Baroda leaked online
• National Cyber Crime Reporting Portal