Bank of Baroda confirma acesso não autorizado após TripleX alegar vazamento de 1 TB na dark web

O Bank of Baroda, terceira maior instituição pública indiana em ativos, divulgou na segunda-feira 27 de julho um comunicado confirmando que uma conta de e-mail corporativa comprometida resultou em acesso não autorizado a determinados dados internos. A instituição afirmou que o núcleo bancário e os sistemas transacionais não foram tocados, que medidas imediatas de contenção foram implementadas e que uma investigação forense foi aberta em cooperação com as autoridades indianas competentes. O comunicado foi a primeira manifestação oficial após três dias de circulação dos dados na dark web.

O que o grupo alega ter

O ator ameaça se apresenta como TripleX e reivindica a publicação de 1 terabyte de conteúdo. Em post na plataforma de monitoramento HackRisk, o grupo diz ter extraído documentos identificadores de clientes, cópias de propostas de crédito, registros internos de auditoria e material de suporte operacional. Metadados analisados pela Reuters e citados por Business Standard e Deccan Herald indicam volume perto de 700 GB, abaixo, portanto, da alegação do grupo. A veracidade do conteúdo e a extensão exata do vazamento não foram confirmadas pela instituição nem por terceiros independentes até o fechamento desta matéria.

A arquitetura do ataque, segundo a versão pública do banco, começa com credenciais de um funcionário. Não houve exploração de vulnerabilidade em produto de terceiro, não houve movimentação lateral para sistemas de core e, pelo que a instituição declarou, não houve toque no ambiente Aadhaar operado pela UIDAI. Ainda assim, alguns arquivos amostrais divulgados pelo próprio TripleX contêm números de conta, PAN cards e registros de NetBanking, o que o pesquisador Srikanth Lakshmanan, fundador da Cashless Consumer, apontou como indicativo de amostra representativa e não de fabricação.

O detalhe que muda o cálculo de risco

O grupo diz não estar cobrando resgate. Segundo o comunicado publicado no ambiente de leak, o objetivo foi disponibilizar o material para download público como forma de punição pela alegada fragilidade das senhas corporativas do banco. O ponto importa. Ataques sem demanda financeira retiram do defensor a via clássica de negociação e transformam o incidente em problema regulatório e reputacional imediato, não em incidente extorsivo administrável. O Reserve Bank of India abriu apuração paralela e cobrou plano de remediação em 72 horas.

Como o setor bancário deve ler

O vetor é conhecido, o que o torna mais desconfortável. Comprometimento de credencial funcional foi o mesmo vetor citado no incidente do Industrial Bank of Korea em janeiro, no ataque ao ICBC de Xangai em 2023 e no recente episódio do NCB no Panamá. Bancos que dependem de shared service centers na Índia e nas Filipinas ficam automaticamente expostos ao mesmo padrão. Estimativa da EY publicada em junho aponta que 61% dos bancos globais de médio e grande porte terceirizam alguma função de back office para operações indianas, e a média de MFA reforçado nesses centros é ainda inferior a 90%.

Na Europa, o supervisor único da BCE já sinalizou revisão de expectativas sobre gerenciamento de acessos privilegiados no ciclo DORA que começa a valer em janeiro de 2027. Instituições como Deutsche Bank e BNP Paribas, com centros na Índia empregando mais de 25 mil pessoas somadas, terão de rever attestations existentes. No Brasil, onde Itaú e Bradesco mantêm parcerias com integradores como Tata Consultancy Services e Infosys para operação de plataformas de canais digitais, o incidente pressiona a discussão do relatório de riscos operacionais previsto na Resolução 4893 do Bacen.

O que o CISO precisa fazer nesta semana

O manual de resposta a esse tipo de exposição está publicado, mas raramente executado sob relógio. Rotação obrigatória de credenciais de todos os funcionários com acesso a repositórios de documentos, revogação imediata de tokens SSO em ativos com integração legada, revisão dos escopos de leitura em plataformas SaaS como SharePoint e Confluence e verificação forense de logs de download em massa nos últimos noventa dias. Nada disso é novo, mas o custo de fazer parcial ficou mais alto: o próximo grupo que replicar o TripleX pode escolher extorsão em vez de punição pública, e o tempo entre coleta e leak encolheu para menos de dez dias em três dos últimos cinco incidentes envolvendo grandes bancos globais.

O Bank of Baroda ainda não divulgou o número de clientes afetados, e essa é a métrica que definirá o tamanho real da multa administrativa que virá do RBI e a exposição em ações coletivas na Índia, no Golfo e no Reino Unido, mercados onde a instituição opera agência varejista.