Bank of Baroda bestätigt unbefugten Zugriff nach TripleX-Angabe über Datenleck von 1 TB im Dark Web
Die zweitgrößte öffentliche Bank Indiens bestätigte am Montag die Kompromittierung eines funktionierenden E-Mail-Kontos, während die Gruppe TripleX angibt, 1 TB interner Daten kostenlos veröffentlicht zu haben, als Strafe für Passwortfehler.
Die Bank of Baroda, die drittgrößte öffentliche indische Institution nach Vermögenswerten, gab am Montag, den 27. Juli, eine Erklärung ab, in der sie bestätigte, dass ein kompromittiertes Firmen-E-Mail-Konto zu unbefugtem Zugriff auf bestimmte interne Daten geführt hatte. Die Institution erklärte, dass das Kernbankensystem und die Transaktionssysteme nicht betroffen seien, dass sofortige Eindämmungsmaßnahmen umgesetzt wurden und dass eine forensische Untersuchung in Zusammenarbeit mit den zuständigen indischen Behörden eingeleitet wurde. Die Erklärung war die erste offizielle Stellungnahme nach drei Tagen der Verbreitung der Daten im Dark Web.
Was die Gruppe angibt
Der Bedrohungsakteur, der sich als TripleX präsentiert, behauptet, 1 Terabyte an Inhalten veröffentlicht zu haben. In einem Post auf der Überwachungsplattform HackRisk sagt die Gruppe, sie habe Identifikationsdokumente von Kunden, Kopien von Kreditanträgen, interne Prüfungsunterlagen und Material für operationale Unterstützung extrahiert. Durch Reuters analysierte Metadaten, die von Business Standard und Deccan Herald zitiert werden, zeigen ein Volumen nahe 700 GB, was also unter der Behauptung der Gruppe liegt. Die Echtheit des Inhalts und das genaue Ausmaß des Lecks wurden bis zum Redaktionsschluss von der Institution oder unabhängigen Dritten nicht bestätigt.
Die Architektur des Angriffs beginnt laut der öffentlichen Version der Bank mit den Credentials eines Mitarbeiters. Es gab keine Ausnutzung einer Schwachstelle in einem Drittprodukt, keine seitliche Bewegung zu Kernsystemen, und soweit die Institution erklärte, gab es keinen Zugriff auf die von der UIDAI betriebenen Aadhaar-Umgebung. Dennoch enthalten einige von TripleX veröffentlichte Musterdateien Kontonummern, PAN-Karten und NetBanking-Daten, was der Forscher Srikanth Lakshmanan, Gründer von Cashless Consumer, als Hinweis auf eine repräsentative Stichprobe und nicht auf Fälschungen ansah.
Der Faktor, der die Risikobewertung ändert
Die Gruppe behauptet, kein Lösegeld zu verlangen. Laut der Erklärung, die im Leck-Umfeld veröffentlicht wurde, war das Ziel, das Material öffentlich zum Download bereitzustellen, als Strafe für die angebliche Schwäche der Passwörter der Bank. Dieser Punkt ist wichtig. Angriffe ohne finanzielle Forderungen entziehen dem Verteidiger die klassische Verhandlungsroute und verwandeln den Vorfall in ein unmittelbares regulatorisches und reputationales Problem, nicht in ein verwaltbares Erpressungsereignis. Die Reserve Bank of India hat eine parallele Untersuchung eingeleitet und einen Wiedereingreifplan innerhalb von 72 Stunden gefordert.
Wie der Bankensektor dies lesen sollte
Der Vektor ist bekannt, was ihn unangenehmer macht. Der Kompromiss von funktionalen Anmeldedaten war derselbe Vektor, der im Vorfall der Industrial Bank of Korea im Januar, beim ICBC-Angriff in Shanghai im Jahr 2023 und im kürzlichen Vorfall bei der NCB in Panama genannt wurde. Banken, die auf Shared Service Centers in Indien und den Philippinen angewiesen sind, sind automatisch demselben Muster ausgesetzt. Eine Schätzung von EY, die im Juni veröffentlicht wurde, besagt, dass 61 % der globalen mittelgroßen und großen Banken irgendeine Back-Office-Funktion an indische Betriebe auslagern, und der Anteil der verstärkten MFA in diesen Zentren liegt noch unter 90 %.
In Europa hat die einheitliche Aufsichtsbehörde der EZB bereits eine Überarbeitung der Erwartungen an das Management von privilegierten Zugängen im DORA-Zyklus signalisiert, der im Januar 2027 in Kraft tritt. Institutionen wie Deutsche Bank und BNP Paribas, die in Indien über 25.000 Mitarbeiter beschäftigen, werden ihre bestehenden Bestätigungen überprüfen müssen. In Brasilien, wo Itaú und Bradesco Partnerschaften mit Integratoren wie Tata Consultancy Services und Infosys für den Betrieb von digitalen Kanalplattformen pflegen, setzt der Vorfall die Diskussion über den in der Resolution 4893 des Bacen vorgesehenen Bericht über operationale Risiken unter Druck.
Was der CISO diese Woche tun sollte
Das Handbuch zur Reaktion auf diese Art von Exposition ist veröffentlicht, wird aber selten in Echtzeit ausgeführt. Verpflichtende Rotation der Anmeldedaten aller Mitarbeiter mit Zugriff auf Dokumentenrepositorien, sofortige Widerrufung von SSO-Token in mit Legacy-Integration verbundenen Assets, Überprüfung der Lesebereiche auf SaaS-Plattformen wie SharePoint und Confluence sowie forensische Überprüfung von Massen-Download-Logs der letzten neunzig Tage. Nichts davon ist neu, aber die Kosten für teilweise Implementierungen sind gestiegen: Die nächste Gruppe, die TripleX repliziert, könnte sich für Erpressung anstelle von öffentlicher Bestrafung entscheiden, und die Zeitspanne zwischen der Sammlung und dem Leak ist in drei der letzten fünf Vorfälle von großen globalen Banken auf weniger als zehn Tage geschrumpft.
Die Bank of Baroda hat noch keine Anzahl der betroffenen Kunden veröffentlicht, und dies ist die Kennzahl, die die tatsächliche Höhe der Verwaltungsstrafe, die von der RBI kommen wird, sowie die Exposition in Sammelklagen in Indien, dem Golfraum und dem Vereinigten Königreich, Märkten, in denen die Institution Retail-Agenturen betreibt, definieren wird.