देश के सबसे बड़े सार्वजनिक क्षेत्र के बैंक, स्टेट बैंक ऑफ इंडिया (SBI) ने हाल ही में एक संदिग्ध डेटा लीक होने की आधिकारिक पुष्टि की है। बैंक के अनुसार, डार्क वेब पर उसके लगभग 3,897 ग्राहकों का व्यक्तिगत डेटा लीक हो गया है। इस संवेदनशील जानकारी में ग्राहकों के नाम, मोबाइल नंबर, ईमेल एड्रेस, जन्मतिथि और उनके घर के पते जैसी बेहद निजी जानकारियां शामिल हैं। बैंक को इस संभावित खतरे के बारे में सबसे पहले 16 अक्टूबर को विभिन्न एजेंसियों से अलर्ट मिला था, जिसमें बैंक की थ्रेट इंटेलिजेंस सर्विस प्रोवाइडर एजेंसी, देश की सुरक्षा से जुड़ी ‘डिफेंस साइबर एजेंसी’ और इंडियन कंप्यूटर इमरजेंसी रिस्पांस टीम (CERT-In) शामिल थीं।
डार्क वेब पर मिले रिकॉर्ड्स की शुरुआती जांच
इस घटना की गंभीरता को देखते हुए एसबीआई ने तुरंत अपनी आंतरिक जांच शुरू कर दी थी। बैंक ने डार्क वेब पर पाए गए लगभग 3.75 लाख संदिग्ध रिकॉर्ड्स की शुरुआती छंटनी और जांच की। इस तकनीकी जांच में यह सामने आया कि कुल रिकॉर्ड्स में से केवल 3,897 एंट्रीज ऐसी थीं, जिनमें एसबीआई के ग्राहकों की वास्तविक और संवेदनशील जानकारियां मौजूद थीं। इन प्रभावित जानकारियों में ग्राहकों के लिंग (जेंडर), बैंक शाखा का विवरण, कस्टमर इंफॉर्मेशन फाइल (CIF) आइडेंटिफायर्स, लीड IDs और लोन आवेदनों से जुड़े जरूरी मेटाडेटा तथा अन्य संबंधित रिकॉर्ड्स शामिल हैं।
फिलहाल, बैंक ने इस डेटा लीक के मुख्य स्रोत या इस सुरक्षा सेंध के पीछे के वास्तविक कारणों की आधिकारिक पुष्टि नहीं की है। बैंक अधिकारियों का कहना है कि लीक हुए डेटा के सत्यापन, उसकी पूरी पुष्टि करने और ग्राहकों पर मंडराने वाले संभावित वित्तीय व साइबर सुरक्षा खतरों का सटीक आकलन करने के लिए अभी और विस्तृत जांच की आवश्यकता है।
बैंक की कोर बैंकिंग सेवाएं पूरी तरह सुरक्षित
इस खबर के सामने आने के बाद चिंतित ग्राहकों को राहत देते हुए एसबीआई ने स्पष्ट किया है कि इस संदिग्ध डेटा लीक का बैंक की कोर बैंकिंग प्रणाली पर कोई प्रभाव नहीं पड़ा है। बैंक की सभी डिजिटल, ऑनलाइन और ऑफलाइन सेवाएं पूरी तरह सुरक्षित हैं और हमेशा की तरह सामान्य रूप से काम कर रही हैं।
अलर्ट मिलते ही बैंक ने अपनी ‘साइबर इंसिडेंट रिस्पॉन्स टीम’ को तुरंत सक्रिय कर दिया था और प्रभावित प्रणालियों को सुरक्षित बनाने के लिए सभी आवश्यक सुरक्षात्मक कदम उठाए हैं। बैंक इस पूरी स्थिति पर बेहद बारीकी से नजर बनाए हुए है और जांच प्रक्रिया पूरी होने के बाद सभी विधिक व नियामक नियमों के तहत आगे की उचित कार्रवाई करेगा। हालांकि, बैंक ने इस घटना के लिए सीधे तौर पर किसी बाहरी व्यक्ति या हैकर का नाम सार्वजनिक रूप से उजागर नहीं किया है।
Statement : SBI has told the stock exchanges about its data breach, but not the customers whose data was leaked New Delhi, 21 October 2026 Today, the State Bank of India told the BSE and the National Stock Exchange, in a disclosure under Regulation 30 of the SEBI (Listing Obligations and Disclosure Requirements) Regulations, 2015, that it has experienced an incident involving the loss of customer data. On 16 October 2026 the bank received alerts from its threat intelligence service provider, the Defence Cyber Agency and CERT-In that its customers’ data was available on the dark web. Its preliminary analysis of about 3.75 lakh records found 3,897 customer records containing personal information. These include registered mobile numbers, dates of birth, names, gender, email addresses, residential addresses, branch and CIF identifiers, lead IDs and details linked to loan records. The bank says it does not yet know where the data came from, and it has engaged a CERT-In empanelled agency to find out. SBI did not detect this breach itself and learnt of it from outside agencies after the data had already been published. On the same day, a threat monitoring account on X flagged a claim by a group calling itself “Siriusim” that it had released 3.75 lakh rows of SBI data and 2,722 PDF documents, including loan applications and account opening forms. The bank’s disclosure does not mention these documents. It also does not say what the remaining records, beyond the 3,897 it has identified, contain. At the time of this statement, SBI has not said that it has informed any of the affected customers, and its disclosure is silent on the point. Five days passed between the alert and today’s filing. The filing assures investors that the incident has no material impact on the bank’s operations, financial performance or business continuity. However, it does not state anything to the 3,897 people whose phone numbers, dates of birth and home addresses are now with fraudsters. These customers are the most likely to receive calls from persons posing as SBI officials who can recite their account details back to them. A customer cannot guard against a fraud she has not been warned of. The Internet Freedom Foundation calls on SBI to inform every affected customer directly and without further delay. We regret to note that the law in force today does not compel the bank to do so. Section 8(6) of the Digital Personal Data Protection Act, 2023 requires a Data Fiduciary to intimate a personal data breach to the Data Protection Board and to each affected Data Principal, and Rule 7 of the DPDP Rules, 2025 prescribes how this is to be done. But the Union Government chose a staggered commencement, and these provisions will take effect only on 13 May 2027, nearly four years after Parliament enacted the law. The reporting obligations that apply today, under the CERT-In Directions of 28 April 2022 and the RBI’s cyber security framework for banks, are owed to regulators and not to customers. A listed bank is bound to keep the stock exchanges informed. No law in force clearly binds it to inform the people whose data it holds. Our demands 1. SBI must inform each affected customer by SMS, email and letter to the registered address, in English, Hindi and the language of the customer’s branch, stating what data was exposed and what steps they should take. It should open a dedicated helpline and an online facility for customers to check whether their data is affected. 2. SBI must state what the 3.75 lakh records and the 2,722 documents contain, how many customers they relate to, and whether they include KYC documents such as Aadhaar, PAN or passport copies. 3. When the investigation concludes, SBI must disclose how the data left its systems, including whether it came through a vendor or a direct selling agent, and publish a summary of the investigating agency’s findings. 4. The Reserve Bank of India should direct all regulated entities to notify customers of personal data breaches within a fixed period, pending the commencement of the DPDP Act. 5. The Ministry of Electronics and Information Technology should bring Section 8(6) of the DPDP Act and Rule 7 of the DPDP Rules into force immediately.
— Internet Freedom Foundation (IFF) (@internetfreedom) October 21, 2026
हैकर ग्रुप Siriusim द्वारा किया गया था दावा
एसबीआई की यह आधिकारिक पुष्टि सोशल मीडिया प्लेटफॉर्म ‘एक्स’ पर 19 अक्टूबर को सामने आई एक रिपोर्ट के बाद आई है, जिसमें बैंक ग्राहकों का डेटा लीक होने की आशंका जताई गई थी। मीडिया रिपोर्ट्स के अनुसार, डार्क वेब के एक लोकप्रिय फोरम BreachForums पर ‘Siriusim’ नामक एक अज्ञात हैकर समूह ने यह दावा किया था कि उसने एसबीआई के लाखों ग्राहकों का डेटा चुरा लिया है। हालांकि, अपनी आंतरिक जांच के बाद एसबीआई ने स्पष्ट किया कि केवल 3,897 ग्राहकों का डेटा ही वास्तविक रूप से प्रभावित हुआ है और बैंक ने फिलहाल आधिकारिक तौर पर इस हैकर ग्रुप को इस घटना के लिए जिम्मेदार नहीं ठहराया है।
