La State Bank of India (SBI) a reconnu le 21 octobre 2026 qu’une analyse préliminaire d’environ 375 000 enregistrements circulant sur le dark web y avait fait apparaître 3 897 dossiers de clients contenant des données personnelles. Prévenue le 16 octobre par trois organismes, la banque a informé les marchés et confié l’enquête à un cabinet indépendant. Sa déclaration, courte et chiffrée, laisse cependant plusieurs zones d’ombre.
De 375 000 lignes à 3 897 clients : la méthode
D’après Outlook Money, l’alerte est parvenue à la SBI le 16 octobre 2026 par trois canaux distincts : son propre prestataire de renseignement sur les menaces, la Defence Cyber Agency et le CERT-In, l’organisme public indien de réponse aux incidents informatiques. Le point de départ n’est donc pas une intrusion repérée en interne, mais des fichiers déjà en circulation que des tiers ont signalés à la banque.
Vient ensuite le tri. Parmi les quelque 375 000 enregistrements retrouvés, les enquêteurs n’en ont retenu que 3 897 qui contiennent des informations permettant d’identifier un client, précise le média indien. À peine plus de 1 % du volume, selon notre calcul.
Cet écart illustre un principe utile face à toute fuite revendiquée : le nombre de lignes d’un fichier mis en ligne ne mesure pas le nombre de personnes exposées. Doublons, champs vides ou enregistrements sans rapport avec la victime peuvent gonfler les volumes affichés. La banque reste d’ailleurs prudente sur la nature des données : selon The Week, elle estime qu’une enquête détaillée est nécessaire pour en vérifier l’authenticité, et son texte évoque une compromission « alléguée ».
Quelles informations figurent dans les dossiers
D’après la lettre de la banque, détaillée par Outlook Money, les dossiers identifiés comportent :
- le nom, la date de naissance et le genre ;
- l’adresse de résidence, le numéro de mobile enregistré et l’adresse e-mail ;
- le numéro de fichier client (CIF), des identifiants de prospects et des identifiants administratifs ;
- des métadonnées associées à des prêts et à d’autres documents.
Aucun des deux articles ne range parmi les données exposées un numéro de compte, un solde ou un mot de passe, mais aucun n’affirme non plus que ces éléments sont hors de cause. L’origine des fichiers reste également inconnue : ni la SBI ni la presse n’indiquent s’ils proviennent des systèmes de la banque ou de ceux d’un prestataire, et aucun groupe de pirates n’est nommé.
Une déclaration pensée pour les investisseurs
La SBI a rendu l’incident public par une notification aux places boursières, au titre du règlement de 2015 de la SEBI, le régulateur des marchés indiens, qui encadre l’information due par les sociétés cotées, rapporte Outlook Money. The Week indique que le régulateur a été prévenu le mercredi, soit le 21 octobre.
Le texte suit la grammaire habituelle de ce type de déclaration : un chiffre, des mesures, puis une limite posée à l’impact. La banque affirme que l’incident n’a pas d’effet significatif sur ses activités principales et, selon The Week, que ni ses résultats financiers ni la continuité de ses services ne seront touchés. Elle dit avoir déclenché son dispositif de réponse aux incidents dès l’alerte et mandaté un cabinet de cybersécurité agréé par le CERT-In pour mesurer l’étendue de la perte de données, trouver la vulnérabilité en cause et évaluer les risques pour les clients comme pour l’établissement. Une évaluation approfondie est en cours, et des mesures correctives et préventives sont déployées, ajoute-t-elle.
Ce que la déclaration ne dit pas est tout aussi parlant : ni date d’intrusion, ni auteur, ni mention de la police ou de la banque centrale dans les articles consultés. En qualifiant son analyse de « préliminaire », la SBI se réserve la possibilité de réviser son chiffre, ce qui est sans doute le choix le plus prudent tant que l’enquête n’a pas abouti.
Les bons réflexes pour les clients
The Week rappelle que les banques indiennes doivent prévenir les clients concernés par e-mail ou par SMS sur leurs coordonnées enregistrées, et qu’un client touché n’a pas à fermer son compte. Le danger tient ailleurs : avec un nom, une date de naissance, une adresse et un identifiant client, un escroc peut se faire passer de façon convaincante pour un conseiller. Le magazine recommande :
- de ne jamais communiquer un code à usage unique, un code UPI, un code de carte ou un mot de passe de banque en ligne, même à quelqu’un qui se présente comme salarié de la SBI ;
- de laisser actives les alertes de transaction par SMS et e-mail et de relire attentivement ses relevés ;
- d’appeler le 1930, numéro du centre indien de coordination contre la cybercriminalité, et de déposer plainte en cas d’opération non autorisée ;
- de signaler l’hameçonnage à report.phishing@sbi.co.in et de ne joindre la banque que par ses numéros officiels.
Questions fréquentes
Combien de clients de la State Bank of India sont touchés ?
La déclaration du 21 octobre 2026 fait état de 3 897 dossiers clients contenant des données personnelles, repérés parmi environ 375 000 enregistrements trouvés sur le dark web. Ce chiffre est issu d’une analyse préliminaire et pourra évoluer avec l’enquête.
Les numéros de compte ou les mots de passe ont-ils fuité ?
Les catégories listées par la banque relèvent de l’identité, des coordonnées, des identifiants clients et des métadonnées de prêts. Les articles ne citent ni numéro de compte ni mot de passe, sans pour autant les déclarer exclus.
Faut-il fermer son compte si l’on est concerné ?
Non, selon The Week. Le principal risque est l’hameçonnage : mieux vaut se méfier des appels, des SMS et des faux relevés, et ne jamais transmettre de code de validation, quel que soit l’interlocuteur.
Sources
- Is your bank account safe? 3,897 SBI customers' data leaked on dark web — The Week, 2026-10-21
- SBI Confirms Cyberattack; 3,897 Customer Records Stolen, Leaked On Dark Web — Outlook Money, 2026-10-21