देश के सबसे बड़े बैंक State Bank of India (SBI) ने एक संदिग्ध डेटा लीक की आधिकारिक पुष्टि की है. बैंक के अनुसार, उसके लगभग 3,897 ग्राहकों का पर्सनल डेटा डार्क वेब पर लीक हो गया है. डार्क वेब पर उजागर हुई इस सेंसेटिव जानकारी में ग्राहकों के नाम, मोबाइल नंबर, ईमेल एड्रेस, जन्मतिथि और उनके घर का पता जैसी बेहद पर्सनल जानकारियां शामिल हैं. SBI ने बताया कि उसे इस संदिग्ध डेटा लीक के बारे में सबसे पहले 16 अक्टूबर को अलर्ट मिला था. ये चेतावनी बैंक को कई एजेंसियों से मिली थी. इसमें उसकी थ्रेट इंटेलिजेंस सर्विस प्रोवाइडर एजेंसी, देश की सुरक्षा से जुड़ी 'डिफेंस साइबर एजेंसी' और इंडियन कंप्यूटर इमरजेंसी रिस्पांस टीम (CERT-In) शामिल थी.
डार्क वेब पर मिले 3.75 लाख रिकॉर्ड्स
स्टेट बैंक ऑफ इंडिया (SBI) ने इस मामले की गंभीरता को देखते हुए तुरंत इंटरनल जांच शुरू कर दी है. बैंक ने डार्क वेब पर पाए गए लगभग 3.75 लाख संदिग्ध रिकॉर्ड्स की शुरुआती जांच की. इस जांच में पाया गया कि केवल 3,897 एंट्रीज ऐसी थीं, जिनमें SBI के ग्राहकों की असली और पर्सनल जानकारियां मौजूद थीं. इन संवेदनशील जानकारियों में ग्राहकों के जेंडर, उनके बैंक ब्रांच की डिटेल्स, कस्टमर इंफॉर्मेशन फाइल (CIF) आइडेंटिफायर्स, लीड IDs और लोन आवेदनों से जुड़े जरूरी मेटाडेटा और अन्य संबंधित रिकॉर्ड्स शामिल हैं.
बैंक ने अभी तक इस डेटा लीक के मेन सोर्स या इस घटना के पीछे के सही कारणों की पुष्टि नहीं की है. बैंक का कहना है कि लीक हुए डेटा का वेरिफिकेशन, उसको पूरी तरह से कन्फर्म करने और ग्राहकों को होने वाले संभावित फाइनेंशियल व साइबर खतरों का आकलन करने के लिए अभी और जांच की आवश्यकता होगी.
Statement : SBI has told the stock exchanges about its data breach, but not the customers whose data was leaked New Delhi, 21 October 2026 Today, the State Bank of India told the BSE and the National Stock Exchange, in a disclosure under Regulation 30 of the SEBI (Listing Obligations and Disclosure Requirements) Regulations, 2015, that it has experienced an incident involving the loss of customer data. On 16 October 2026 the bank received alerts from its threat intelligence service provider, the Defence Cyber Agency and CERT-In that its customers' data was available on the dark web. Its preliminary analysis of about 3.75 lakh records found 3,897 customer records containing personal information. These include registered mobile numbers, dates of birth, names, gender, email addresses, residential addresses, branch and CIF identifiers, lead IDs and details linked to loan records. The bank says it does not yet know where the data came from, and it has engaged a CERT-In empanelled agency to find out. SBI did not detect this breach itself and learnt of it from outside agencies after the data had already been published. On the same day, a threat monitoring account on X flagged a claim by a group calling itself “Siriusim” that it had released 3.75 lakh rows of SBI data and 2,722 PDF documents, including loan applications and account opening forms. The bank's disclosure does not mention these documents. It also does not say what the remaining records, beyond the 3,897 it has identified, contain. At the time of this statement, SBI has not said that it has informed any of the affected customers, and its disclosure is silent on the point. Five days passed between the alert and today's filing. The filing assures investors that the incident has no material impact on the bank's operations, financial performance or business continuity. However, it does not state anything to the 3,897 people whose phone numbers, dates of birth and home addresses are now with fraudsters. These customers are the most likely to receive calls from persons posing as SBI officials who can recite their account details back to them. A customer cannot guard against a fraud she has not been warned of. The Internet Freedom Foundation calls on SBI to inform every affected customer directly and without further delay. We regret to note that the law in force today does not compel the bank to do so. Section 8(6) of the Digital Personal Data Protection Act, 2023 requires a Data Fiduciary to intimate a personal data breach to the Data Protection Board and to each affected Data Principal, and Rule 7 of the DPDP Rules, 2025 prescribes how this is to be done. But the Union Government chose a staggered commencement, and these provisions will take effect only on 13 May 2027, nearly four years after Parliament enacted the law. The reporting obligations that apply today, under the CERT-In Directions of 28 April 2022 and the RBI's cyber security framework for banks, are owed to regulators and not to customers. A listed bank is bound to keep the stock exchanges informed. No law in force clearly binds it to inform the people whose data it holds. Our demands 1. SBI must inform each affected customer by SMS, email and letter to the registered address, in English, Hindi and the language of the customer's branch, stating what data was exposed and what steps they should take. It should open a dedicated helpline and an online facility for customers to check whether their data is affected. 2. SBI must state what the 3.75 lakh records and the 2,722 documents contain, how many customers they relate to, and whether they include KYC documents such as Aadhaar, PAN or passport copies. 3. When the investigation concludes, SBI must disclose how the data left its systems, including whether it came through a vendor or a direct selling agent, and publish a summary of the investigating agency's findings. 4. The Reserve Bank of India should direct all regulated entities to notify customers of personal data breaches within a fixed period, pending the commencement of the DPDP Act. 5. The Ministry of Electronics and Information Technology should bring Section 8(6) of the DPDP Act and Rule 7 of the DPDP Rules into force immediately.
— Internet Freedom Foundation (IFF) (@internetfreedom) October 21, 2026
बैंक की सेवाएं पूरी तरह सुरक्षित
इस घटना से चिंतित ग्राहकों को राहत देते हुए SBI ने साफ किया है कि इस संदिग्ध डेटा लीक का बैंक की कोर बैंकिंग सेवाओं पर कोई असर नहीं पड़ा है. बैंक की सभी ऑनलाइन और ऑफलाइन सर्विस हमेशा की तरह सामान्य रूप से काम कर रही हैं.
यह भी पढ़ें | DSLR जैसी फोटो! अंधेरे में भी दिन जैसी तस्वीर खींचते हैं ये स्मार्टफोन, भूल जाएंगे iPhone
अलर्ट मिलने के तुरंत बाद बैंक ने अपनी साइबर इंसिडेंट रिस्पॉन्स टीम को एक्टिवेट कर दिया और प्रभावित प्रणालियों को सुरक्षित करने के लिए जरूरी सुरक्षा कदम उठाए हैं. बैंक स्थिति पर लगातार नजर बनाए हुए है और जांच पूरी होने के बाद कानूनी व नियामक नियमों के तहत आगे की उचित कार्रवाई करेगा. बैंक ने इस घटना के लिए जिम्मेदार किसी बाहरी व्यक्ति या हैकर का नाम पब्लिकली उजागर नहीं किया है.
हैकर ग्रुप Siriusim ने किया था डेटा चोरी का दावा
SBI का ये खुलासा सोशल मीडिया प्लेटफॉर्म X पर 19 अक्टूबर को पोस्ट की गई एक रिपोर्ट के बाद आया है. जिसमें एसबीआई के ग्राहकों का डेटा लीक होने की आशंका जताई गई थी. रिपोर्ट्स के अनुसार, डार्क वेब के एक फोरम BreachForums पर Siriusim नाम के एक अज्ञात हैकर ग्रुप ने दावा किया था कि उसने एसबीआई के लगभग 3.75 लाख ग्राहकों का डेटा चोरी कर लिया है. हालांकि, एसबीआई ने अपनी जांच के बाद स्पष्ट किया है कि केवल 3,897 ग्राहकों का डेटा ही प्रभावित हुआ है और बैंक ने इस घटना के लिए आधिकारिक तौर पर इस हैकर ग्रुप को जिम्मेदार नहीं ठहराया है.
यह भी पढ़ें | ChatGPT में आया धांसू फीचर, काफी समय से था इंतजार, कोई नहीं पढ़ पाएगा पर्सनल बातचीत
NDTV.in पर ताज़ातरीन ख़बरों को ट्रैक करें, व देश के कोने-कोने से और दुनियाभर से न्यूज़ अपडेट पाएं
