TECHTech NO. ---

Ciberataque ao SBI: o que o banco revelou e o que não foi verificado

O State Bank of India afirma que dados pessoais de 3.897 registros de clientes apareceram na dark web. Veja o que o banco confirmou, o que diz a alegação maior feita em um fórum, quais regras indianas de comunicação se aplicam e como os clientes podem se proteger.

By Rowan Ashby Published 21.10.26 07:46 UTC 8 min read

Fachada do prédio histórico da agência do State Bank of India em Chandni Chowk, na Velha Délhi — Pinakpani / Wikimedia Commons / CC BY-SA 4.0 · Source

Principais pontos

O State Bank of India (SBI), maior banco do país, informou às bolsas de valores que um incidente cibernético fez com que 3.897 registros de clientes com informações pessoais aparecessem na dark web, segundo reportagens sobre seu comunicado de 21 de outubro de 2026.
O banco afirmou que esses 3.897 registros foram identificados em uma análise preliminar de cerca de 375.000 registros encontrados na internet. Desde 16 de outubro, um agente de ameaças reivindicava esse conjunto maior, além de 2.722 documentos em PDF, em um fórum de crimes cibernéticos.
O SBI disse que não se espera que o incidente tenha impacto relevante em suas operações principais, em seu desempenho financeiro ou na continuidade dos negócios, e que contratou uma agência independente de cibersegurança para avaliar o vazamento.
As reportagens analisadas pelo Bullquill não indicam que senhas, credenciais de internet banking ou PINs do UPI tenham sido expostos. A autenticidade, a origem e o alcance total do conjunto de dados reivindicado continuam sem verificação.
As regras da Índia exigem a comunicação rápida de incidentes ao CERT-In (em até 6 horas) e ao Banco Central da Índia (Reserve Bank of India). As obrigações de notificação de vazamentos previstas no marco de Proteção de Dados Pessoais Digitais (DPDP) estão programadas para entrar em vigor em maio de 2027.

O que o SBI divulgou oficialmente

Em comunicado às bolsas de valores da Índia, noticiado pela Reuters e por vários veículos indianos em 21 de outubro, o SBI informou ter identificado um incidente cibernético em que informações de identificação pessoal de 3.897 registros de clientes apareceram na dark web. O banco descreveu esse número como resultado de uma análise preliminar de cerca de 3,75 lakh (375.000) registros que circulavam na internet.

Segundo as reportagens, o SBI recebeu alertas em 16 de outubro sobre uma possível exposição de dados de clientes. O Sunday Guardian, ao descrever o comunicado, citou três fontes desses alertas: o prestador de serviços de inteligência de ameaças do banco, a Defence Cyber Agency (Agência de Defesa Cibernética) e a Equipe Indiana de Resposta a Emergências Computacionais (CERT-In). O relato do India.com sobre o comunicado mencionou o prestador de inteligência de ameaças e o CERT-In.

Os campos de dados apontados na análise preliminar do SBI, conforme noticiado pela Reuters via Deccan Chronicle, incluem nomes de clientes, números de celular, datas de nascimento, endereços de e-mail, endereços residenciais, identificadores de agência e de cliente e registros relacionados a empréstimos. O Bullquill não viu nem reproduz nenhum desses dados.

O banco disse ter acionado seus procedimentos de resposta e contenção de incidentes cibernéticos e contratado uma agência independente de cibersegurança para fazer uma avaliação abrangente. Também ressaltou que o vazamento "não deve ter nenhum impacto relevante" em suas operações principais, segundo a reportagem da Reuters. O India.com citou o comunicado, segundo o qual as funções centrais do negócio "continuam operando normalmente, sem interrupções".

O SBI também tem sido cauteloso sobre o que não confirmou. O banco afirmou que é necessária uma investigação detalhada para determinar se os dados expostos são autênticos e completos e para identificar sua origem. O banco não nomeou nenhum atacante e, nas reportagens analisadas, não explicou como os registros foram obtidos.

A reivindicação maior que circula desde 16 de outubro

A divulgação veio após vários dias de alegações na internet. Em 16 de outubro, um perfil de cibersegurança no X destacou uma publicação no BreachForums, um fórum de crimes cibernéticos, feita por um agente de ameaças que usa o nome "Siriusim", segundo o Free Press Journal. O agente afirmou ter cerca de 375.000 registros de clientes em formato de planilha e 2.722 documentos em PDF supostamente ligados ao SBI e, possivelmente, a suas subsidiárias. O material foi descrito como contendo pedidos de empréstimo, documentos financeiros de apoio e registros de "conheça seu cliente" (KYC).

O Free Press Journal relatou que o agente publicou abertamente um pequeno número de registros de amostra e que os números de telefone dessas amostras pareciam válidos. O veículo ressaltou que isso não prova que todo o conjunto de dados seja autêntico, recente ou retirado dos próprios sistemas do SBI, e não de uma subsidiária ou de um prestador de serviços terceirizado.

A diferença entre os dois números é importante. O comunicado do SBI confirma informações pessoais em 3.897 registros; a alegação no fórum se refere a um conjunto de dados cerca de 100 vezes maior. A redação do banco sugere que o conjunto maior foi o volume analisado, e não uma contagem confirmada de clientes afetados. Até que a avaliação independente seja concluída, nem o número total de 375.000 nem o suposto arquivo de PDFs devem ser tratados como fatos estabelecidos.

Incidente cibernético do SBI: o que o banco confirmou x o que é alegado na internet (segundo reportagens até 21 de outubro de 2026)
Item	Divulgação do SBI (comunicado às bolsas)	Alegação na dark web (não verificada)
Registros envolvidos	3.897 registros de clientes com informações pessoais	Cerca de 375.000 registros
Documentos	Não especificado	2.722 documentos em PDF
Tipos de dados	Nomes, números de celular, datas de nascimento, e-mails e endereços residenciais, identificadores de agência/cliente, registros de empréstimos	Pedidos de empréstimo, documentos financeiros, registros KYC, dados de identificação
Primeiro alerta / primeira publicação	Alertas recebidos em 16 de outubro	Publicação no fórum destacada em 16 de outubro
Autoria	Nenhum atacante nomeado	Agente que usa o nome "Siriusim"
Impacto nos negócios	Nenhum impacto relevante esperado nas operações principais	Não se aplica
Status da verificação	Preliminar; agência independente contratada	Sem verificação independente

Fontes: Reuters via Deccan Chronicle; India.com; Free Press Journal; Sunday Guardian.

O que as regras da Índia exigem

CERT-In: seis horas

Pelas diretrizes emitidas em 28 de abril de 2022 com base na seção 70B(6) da Lei de Tecnologia da Informação de 2000, prestadores de serviços, intermediários, data centers, pessoas jurídicas e órgãos públicos devem comunicar determinados incidentes cibernéticos ao CERT-In em até seis horas após tomarem conhecimento deles ou serem notificados. A lista de incidentes que devem ser comunicados inclui violações e vazamentos de dados. As diretrizes entraram em vigor em 27 de junho de 2022. Neste caso, o próprio CERT-In foi apontado como um dos órgãos que alertaram o SBI, e o banco não divulgou quando fez sua própria comunicação à agência.

Banco Central da Índia (Reserve Bank of India)

Os bancos também prestam contas ao seu regulador. A circular de 2016 do RBI sobre um marco de cibersegurança para bancos determina que as instituições comuniquem ao banco central incidentes de cibersegurança incomuns, consumados ou tentados, em um prazo de duas a seis horas, com atualizações posteriores à medida que surgirem novas informações. Nas reportagens analisadas, o RBI não havia comentado publicamente o incidente do SBI.

Divulgação ao mercado de capitais

Como empresa listada, o SBI está sujeito às regras de divulgação da Comissão de Valores Mobiliários da Índia (Securities and Exchange Board of India, SEBI), que exigem a comunicação imediata de fatos relevantes às bolsas. O comunicado de outubro é o canal oficial pelo qual o incidente se tornou público.

A Lei e o Regulamento DPDP

A Lei de Proteção de Dados Pessoais Digitais de 2023 da Índia obriga as organizações a notificar tanto o Conselho de Proteção de Dados quanto as pessoas afetadas sobre uma violação de dados pessoais. O procedimento detalhado está na Regra 7 do Regulamento DPDP de 2025, publicado em novembro de 2025. Essa regra exige notificação ao Conselho e a cada pessoa afetada "sem demora", seguida de um relatório detalhado ao Conselho em até 72 horas. Segundo a implementação em fases descrita por escritórios de advocacia como o AZB & Partners, a Regra 7 entra em vigor 18 meses após a publicação, por volta de maio de 2027. Isso significa que o dever legal completo de notificação de violações no marco DPDP ainda não vale para este incidente, embora as demais regras citadas acima já se apliquem.

O que os clientes podem fazer

Como os campos noticiados incluem nomes, números de telefone e detalhes de empréstimos, o risco mais provável para as pessoas afetadas é a fraude direcionada, como ligações ou mensagens que citam dados pessoais reais para parecer legítimas. Entre as precauções habituais, alinhadas às orientações publicadas por bancos e autoridades indianas, estão:

Nunca compartilhar códigos OTP, PINs do UPI, dados de cartão ou senhas de internet banking, nem mesmo com quem diga ser do SBI ou de um órgão regulador.
Desconfiar de ligações inesperadas sobre atualização de KYC, aprovação de empréstimos ou bloqueio de contas e retornar a ligação usando os números informados no site oficial do banco.
Evitar clicar em links ou instalar aplicativos enviados por mensagem e recusar pedidos de compartilhamento de tela.
Ativar alertas de transações por SMS e e-mail e conferir os extratos com frequência.
Usar uma senha de internet banking forte e exclusiva e manter o celular e os aplicativos atualizados.
Comunicar imediatamente qualquer suspeita de fraude ao banco e à central nacional de crimes cibernéticos 1930 ou ao Portal Nacional de Denúncia de Crimes Cibernéticos (cybercrime.gov.in).

Contexto: o segundo banco estatal em três meses

A divulgação do SBI ocorre depois que o Bank of Baroda, outro banco estatal, informou em julho de 2026 que dados de clientes e documentos internos haviam aparecido em um site da dark web. Na época, a Reuters noticiou que o banco associou o incidente a uma conta de e-mail de funcionário comprometida e afirmou que seus sistemas bancários centrais não foram acessados. Os dois casos seguem um padrão: os dados surgem primeiro em um fórum criminoso, e o banco confirma um alcance menor enquanto as investigações continuam.

O que significa

Por enquanto, os fatos confirmados são limitados: o SBI reconhece que informações pessoais de 3.897 registros de clientes foram expostas, afirma que seus sistemas principais funcionam normalmente e encomendou uma avaliação independente. O número muito maior associado à alegação no fórum não foi verificado, e a origem dos dados, sejam os próprios sistemas do SBI, uma subsidiária ou um fornecedor, ainda não foi estabelecida.

As principais perguntas em aberto são se a análise independente vai alterar a contagem, como os dados saíram do controle do banco e se o SBI vai contatar diretamente os clientes afetados. O caso também evidencia uma lacuna no regime de privacidade da Índia: até que a regra de notificação de violações da DPDP entre em vigor em 2027, a notificação individual depende principalmente de normas setoriais e das escolhas do próprio banco. Clientes que receberem ligações ou mensagens incomuns citando dados pessoais devem considerar que podem ser tentativas de fraude e verificar pelos canais oficiais.

Perguntas frequentes

Quantos clientes do SBI foram afetados pelo ciberataque?

O comunicado do SBI às bolsas, segundo noticiado em 21 de outubro de 2026, informou que dados pessoais de 3.897 registros de clientes apareceram na dark web. Um agente de ameaças alega ter cerca de 375.000 registros, mas esse número maior não foi verificado de forma independente.

Senhas ou PINs do UPI do SBI vazaram?

As reportagens sobre o comunicado do SBI listam nomes, números de celular, datas de nascimento, e-mails e endereços residenciais, identificadores e registros de empréstimos. Elas não indicam que senhas, credenciais de internet banking ou PINs do UPI tenham sido expostos.

O internet banking do SBI continua funcionando normalmente?

O SBI disse que não se espera que o incidente tenha impacto relevante em suas operações principais, em seu desempenho financeiro ou na continuidade dos negócios, e que as funções centrais continuam operando normalmente.

O que os clientes do SBI devem fazer agora?

Nunca compartilhar OTPs, PINs ou senhas, confirmar ligações inesperadas pelos números do site oficial do SBI, ativar alertas de transações e comunicar suspeitas de fraude ao banco, à central 1930 ou em cybercrime.gov.in.

A Lei DPDP obriga o SBI a avisar os clientes?

A Lei DPDP e a Regra 7 do Regulamento DPDP de 2025 exigem notificação de violações ao Conselho de Proteção de Dados e às pessoas afetadas, mas a Regra 7 deve entrar em vigor por volta de maio de 2027, na implementação em fases. As regras de comunicação do CERT-In e do RBI já se aplicam.