Die Zahl von 3.897 bezeichnet die Bank ausdrücklich als vorläufig. Ob die Daten echt sind, wie weit die Offenlegung reicht und welches Risiko für Kunden daraus entsteht, ist nach eigenen Angaben noch nicht geklärt. Die 3.897 Datensätze entsprechen etwa einem von hundert der geprüften Einträge. Ob es sich um 3.897 verschiedene Personen handelt und was der übrige Bestand enthält, teilte die Bank nicht mit.

Zu den betroffenen Kategorien zählen der Mitteilung zufolge „registrierte Mobilfunknummern, Geburtsdaten, Namen, Geschlecht, E-Mail-Adressen, Wohnadressen, Filial- und CIF-Kennungen, Lead-IDs sowie Metadaten zu Kredit- bzw. Lead-Datensätzen und weiteren zugehörigen Dateien". Die CIF-Kennung ist die bankinterne Kundennummer (Customer Information File).

Nicht aufgeführt sind Kontonummern, Kontostände, Passwörter, Einmalpasswörter, Kartendaten oder staatliche Identitätsnummern wie PAN oder Aadhaar. Das Risiko der genannten Kategorien liegt im Identitätsmissbrauch: Ein Anruf oder eine Nachricht, die Name, Mobilnummer, Geburtsdatum, Adresse, Filiale und interne Kennung verwendet, wirkt wie von der Bank stammend.

Der Hinweis erreichte die Bank am 16. Oktober über ihren Threat-Intelligence-Dienstleister, über CERT-In, Indiens nationales Computer Emergency Response Team, sowie über die Defense Cyber Agency, die Cyber-Einheit der Streitkräfte im Verteidigungsministerium. Die SBI aktivierte ihre Verfahren zur Vorfallsreaktion und Eindämmung und beauftragte ein unabhängiges Cybersicherheitsunternehmen aus dem Kreis der von CERT-In zugelassenen Sicherheitsauditoren mit der Bewertung der „mutmaßlichen Kompromittierung".

Auf das Kerngeschäft, die Finanzkennzahlen und die Geschäftskontinuität habe der Vorfall keine wesentlichen Auswirkungen, heißt es in der Mitteilung. Diese Aussage bezieht sich auf das Geschäft der Bank, nicht auf ihre Kunden.

Angreifer, Forum oder Datensatz werden in der Mitteilung nicht benannt. Die Größenordnung von rund 375.000 deckt sich mit einer Angabe, die das Monitoring-Konto CyberPulse56 am 16. Oktober auf X veröffentlichte. Demnach behauptete ein Akteur unter dem Namen Siriusim, Kundendokumente und persönliche Daten mit Bezug zur SBI veröffentlicht zu haben: 375.000 Zeilen im CSV-Format sowie 2.722 PDF-Dokumente, darunter angeblich persönliche Angaben, Kreditanträge samt Belegen, Kontoeröffnungsformulare und Adressen.

Eine Prüfung des Angebots im Cybercrime-Forum BreachForums ergab, dass der Veröffentlichung vier Beispieldatensätze beigefügt waren. Die darin enthaltenen Telefonnummern waren gültig; das WhatsApp-Profilbild einer Nummer stimmte mit dem Passfoto auf dem ebenfalls veröffentlichten KYC-Dokument derselben Person überein. Diese Prüfung umfasst lediglich vier Datensätze und belegt weder die Echtheit des gesamten Bestands noch dessen Herkunft. Die Beispiele bezogen sich überwiegend auf Kreditvorgänge und enthielten KYC-Felder; ob die Daten der SBI selbst, einer ihrer Tochtergesellschaften oder einem Drittanbieter zuzuordnen sind, der Bankanträge bearbeitet, ging daraus nicht hervor.

Die Bank stellt in ihrer Mitteilung keinen Bezug zwischen ihrer Analyse und dem Forenangebot her und äußerte sich nicht dazu, ob die 2.722 PDF-Dokumente Teil des geprüften Materials waren. Ob überhaupt ein SBI-System kompromittiert wurde, bleibt offen; die Herkunft der Daten überlässt die Mitteilung der Untersuchung, ein Datum des ersten Auftauchens wird nicht genannt.

Ob betroffene Kunden informiert wurden oder werden, lässt die Mitteilung ebenfalls offen. Die zuletzt im Juni aktualisierte Seite der Bank zur Cybersicherheit empfiehlt allgemein, Vorfälle an report.phishing@sbi.co.in oder an die nationale Cybercrime-Hotline 1930 zu melden.

Eine nahezu wortgleiche Mitteilung – einschließlich der Formulierung „mutmaßliche Kompromittierung" – hatte die ebenfalls staatliche Bank of Baroda am 27. Juli an die Börsen übermittelt, nachdem sie „eine Mitteilung aus anonymer Quelle" erhalten hatte, in der Zugriff auf bestimmte Daten behauptet wurde. Dort wurde als vorläufige Ursache ein „möglicher Business E-Mail Compromise" genannt; die SBI nennt keine Ursache.