สรุปสั้น

ธนาคาร State Bank of India (SBI) ธนาคารของรัฐที่ใหญ่ที่สุดของอินเดีย แจ้งตลาดหลักทรัพย์ในเอกสารลงวันที่ 21 ตุลาคม 2569 ว่า “เกิดเหตุการณ์ที่เกี่ยวข้องกับการสูญเสียข้อมูลบางส่วน” โดยพบข้อมูลส่วนบุคคลของลูกค้า 3,897 รายการในชุดข้อมูลราว 375,000 แถวที่อยู่บนดาร์กเว็บ หรือราว 1 ใน 100 ของรายการที่ตรวจ ตัวเลขนี้ยังเป็นผลเบื้องต้น ธนาคารยังไม่ได้ยืนยันว่าข้อมูลเป็นของจริง ไม่รู้ว่าข้อมูลมาจากไหน ขอบเขตกว้างแค่ไหน และเสี่ยงต่อลูกค้าเพียงใด ธนาคารได้รับการแจ้งเตือนเมื่อ 16 ตุลาคมจากผู้ให้บริการข่าวกรองภัยคุกคามของตัวเอง CERT-In และหน่วย Defence Cyber Agency ของกระทรวงกลาโหม

ข้อมูลที่หลุดมีชื่อ เบอร์มือถือที่ลงทะเบียนไว้ วันเกิด เพศ อีเมล ที่อยู่ รหัสสาขาและรหัส CIF (เลขแฟ้มข้อมูลลูกค้าภายในธนาคาร) รวมถึงเมทาดาทาของรายการสินเชื่อ แต่ไม่มีเลขบัญชี ยอดเงิน รหัสผ่าน OTP ข้อมูลบัตร หรือเลข PAN/Aadhaar ความเสี่ยงหลักจึงเป็นการแอบอ้าง คือมิจฉาชีพโทรหรือส่งข้อความโดยรู้ชื่อ เบอร์ วันเกิด ที่อยู่ สาขา และรหัสภายในของลูกค้า จนดูน่าเชื่อว่ามาจากธนาคารจริง ตัวเลข 375,000 ตรงกับคำอ้างของผู้ใช้ชื่อ Siriusim บน BreachForums แต่ธนาคารไม่ได้เชื่อมผลวิเคราะห์ของตัวเองเข้ากับประกาศขายนั้น

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 ตุลาคม 2569 ว่า SBI เปิดกระบวนการรับมือและควบคุมเหตุ และว่าจ้างบริษัทความปลอดภัยไซเบอร์อิสระจากรายชื่อผู้ตรวจสอบที่ CERT-In รับรอง ให้ประเมินสิ่งที่เอกสารเรียกว่า “การบุกรุกที่ถูกกล่าวอ้าง” ธนาคารระบุว่าเหตุนี้ไม่กระทบธุรกิจหลัก ผลประกอบการ หรือความต่อเนื่องทางธุรกิจอย่างมีนัยสำคัญ แต่ข้อความนี้ครอบคลุมธุรกิจของธนาคาร ไม่ใช่ลูกค้า ธนาคารยังไม่ได้บอกว่า 3,897 รายการเป็นของคน 3,897 คนหรือไม่ ส่วนที่เหลือของชุดข้อมูลเป็นอะไร และจะแจ้งลูกค้าที่ได้รับผลกระทบหรือไม่

ตัวเลขราว 375,000 ตรงกับคำอ้างที่บัญชีเฝ้าระวัง CyberPulse56 บน X แจ้งเตือนเมื่อ 16 ตุลาคม ว่าผู้ใช้ชื่อ Siriusim อ้างว่าปล่อยเอกสารและข้อมูลส่วนบุคคลของลูกค้าที่เชื่อมโยงกับ SBI เป็นไฟล์ CSV 375,000 แถว และเอกสาร PDF 2,722 ไฟล์ ที่อ้างว่ามีข้อมูลส่วนบุคคล ใบสมัครสินเชื่อพร้อมเอกสารประกอบ แบบฟอร์มเปิดบัญชี และที่อยู่ หนังสือพิมพ์ Free Press Journal ตรวจประกาศบน BreachForums และพบตัวอย่าง 4 รายการ เบอร์โทรในตัวอย่างใช้งานได้จริง และรูปโปรไฟล์ WhatsApp ของเบอร์หนึ่งตรงกับรูปถ่ายติดบัตรในเอกสาร KYC ที่ผู้ขายโพสต์ไว้ด้วย

แต่การตรวจนี้ครอบคลุมเพียง 4 รายการ ไม่ได้พิสูจน์ว่าชุดข้อมูลทั้งหมดเป็นของจริงหรือมาจากไหน ตัวอย่างส่วนใหญ่เป็นข้อมูลสินเชื่อที่มีฟิลด์ KYC และไม่ได้บอกว่าข้อมูลเป็นของ SBI เอง บริษัทในเครือ หรือผู้ให้บริการภายนอกที่จัดการใบสมัครให้ธนาคาร ธนาคารยังไม่ได้ระบุว่าตรวจเอกสาร PDF 2,722 ไฟล์ด้วยหรือไม่ และยังเป็นคำถามเปิดว่ามีระบบใดของ SBI ถูกเจาะจริงหรือไม่

อัปเดต 23 ต.ค. 2569: เว็บไซต์ Cybersecurity News รายงานเมื่อวันที่ 23 ตุลาคม 2569 อ้างหนังสือพิมพ์ The Economic Times ว่า SBI ออกประกาศล่าสุดในวันเดียวกัน แจ้งว่าได้ติดต่อลูกค้าทุกรายที่พบข้อมูลในชุดข้อมูลดังกล่าวเป็นรายบุคคลแล้ว ผ่านอีเมลและ WhatsApp และยืนยันว่ายอดเงินและเงินในบัญชีของลูกค้ายังปลอดภัย การตอบสนองจึงขยับจากการเปิดเผยต่อสาธารณะไปสู่การสื่อสารกับลูกค้าโดยตรง ซึ่งตอบคำถามที่ค้างไว้ว่าธนาคารจะแจ้งลูกค้าหรือไม่ แต่ยังไม่ระบุว่าแจ้งไปกี่ราย ส่วนประเด็นอื่นยังเหมือนเดิม คือยังไม่รู้ว่าข้อมูลได้มาอย่างไร ไม่มีการยืนยันว่าผู้โจมตีเข้าถึงระบบ core banking และยังไม่มีช่องทางเจาะ ช่องโหว่ หรือมัลแวร์ที่ระบุได้ การสอบสวนยังตรวจความถูกต้อง แหล่งที่มา และขอบเขตของข้อมูลอยู่ ที่น่าระวังคือมิจฉาชีพอาจฉวยจังหวะนี้ส่งข้อความปลอมเลียนแบบการแจ้งเตือนของธนาคารทางอีเมลหรือ WhatsApp ซ้อนเข้ามา

State Bank of India confirms customer records found in dark web dataset

ขอบเขตข้อมูลที่รั่ว

ประเภทข้อมูลอยู่ในรายการที่ธนาคารระบุ
ชื่อ เพศ วันเกิดมี
เบอร์มือถือที่ลงทะเบียน อีเมล ที่อยู่มี
รหัสสาขา รหัส CIF รหัส leadมี
เมทาดาทาของรายการสินเชื่อ/leadมี
เลขบัญชี ยอดเงินไม่มีในรายการ
รหัสผ่าน OTP ข้อมูลบัตรไม่มีในรายการ
เลข PAN / Aadhaarไม่มีในรายการ

เหตุการณ์คล้ายกันเคยเกิดกับธนาคาร Bank of Baroda ธนาคารของรัฐอีกแห่ง ซึ่งแจ้งตลาดหลักทรัพย์เมื่อ 27 กรกฎาคม 2569 ด้วยถ้อยคำแทบเหมือนกัน รวมถึงคำว่า “การบุกรุกที่ถูกกล่าวอ้าง” หลังได้รับการติดต่อจากแหล่งนิรนามที่อ้างว่าเข้าถึงข้อมูลได้ เอกสารครั้งนั้นระบุสาเหตุเบื้องต้นว่า “อาจเป็น business email compromise” ขณะที่ SBI ยังไม่ระบุสาเหตุใดเลย

ผลกระทบ

แม้ข้อมูลที่ยืนยันจะมีเพียง 3,897 รายการและไม่มีข้อมูลการเงินโดยตรง แต่ชุดข้อมูลที่รวมชื่อ เบอร์ วันเกิด ที่อยู่ สาขา และรหัสลูกค้าภายใน คือวัตถุดิบที่ดีที่สุดสำหรับการหลอกลวงโดยแอบอ้างเป็นธนาคาร มิจฉาชีพที่อ้างรหัส CIF หรือสาขาได้ถูกต้องจะผ่านการตรวจสอบเบื้องต้นของเหยื่อได้ง่าย แล้วหลอกเอา OTP หรือให้ติดตั้งแอปควบคุมระยะไกล หากเอกสาร KYC และใบสมัครสินเชื่อ 2,722 ไฟล์ที่ผู้ขายอ้างเป็นของจริง ความเสี่ยงจะขยายไปถึงการปลอมตัวตนและการขอสินเชื่อในชื่อผู้อื่น ส่วนการที่ยังไม่รู้ว่าข้อมูลหลุดจากธนาคาร บริษัทในเครือ หรือผู้ให้บริการภายนอก สะท้อนว่าข้อมูลใบสมัครสินเชื่อมักผ่านมือหลายฝ่าย และจุดที่อ่อนที่สุดอาจไม่ใช่ระบบของธนาคารเอง

คำแนะนำ

  • ลูกค้าธนาคารควรระวังสายโทรศัพท์ SMS หรือข้อความ WhatsApp ที่อ้างเป็นธนาคาร แม้ผู้ติดต่อจะรู้ชื่อ วันเกิด สาขา หรือรหัสลูกค้าถูกต้อง และไม่ให้ OTP รหัสผ่าน หรือติดตั้งแอปตามคำขอ
  • ติดต่อธนาคารกลับผ่านช่องทางทางการที่หาเองเท่านั้น และแจ้งเหตุผ่าน report.phishing@sbi.co.in หรือสายด่วนอาชญากรรมไซเบอร์ 1930 ของอินเดีย
  • อัปเดต 23 ต.ค. 2569: ลูกค้าที่ได้รับอีเมลหรือข้อความ WhatsApp แจ้งเหตุจาก SBI ไม่ควรคลิกลิงก์หรือโทรกลับเบอร์ในข้อความ ให้ยืนยันผ่านแอปหรือเว็บไซต์ทางการของธนาคาร เพราะข้อความปลอมที่เลียนแบบการแจ้งเตือนอาจตามมา และตรวจรายการเดินบัญชีหาธุรกรรมที่ไม่ได้ทำเอง
  • ธนาคารและสถาบันการเงินควรทำแผนผังว่าข้อมูลใบสมัครสินเชื่อและ KYC ไหลผ่านบริษัทในเครือ ตัวแทน และผู้ให้บริการภายนอกรายใดบ้าง และกำหนดมาตรการควบคุมกับทุกจุด
  • ฝังข้อมูลหลอก (canary record) ไว้ในฐานข้อมูลลูกค้าแต่ละชุดหรือแต่ละคู่ค้า เพื่อระบุต้นทางได้เร็วเมื่อข้อมูลไปโผล่บนดาร์กเว็บ
  • ตั้งระบบเฝ้าระวังดาร์กเว็บและฟอรัมขายข้อมูลสำหรับชื่อแบรนด์และโดเมนขององค์กร และมีขั้นตอนแจ้งลูกค้าที่ได้รับผลกระทบอย่างรวดเร็ว

แหล่งอ้างอิง