1. Een actieve partij genaamd Siriusim beweert een datalek te hebben veroorzaakt bij SBI en klantgegevens en bankdocumenten online te hebben geplaatst.
2. Siriusim deed deze claim op BreachForums en deelde vier voorbeelden van klantgegevens.
3. De vermeende dataset zou 375.000 CSV-rijen en 2.722 PDF-bestanden bevatten.
4. De precieze aantallen gegevens, zowel rijen als bestanden, bieden geen uitsluitsel over het aantal getroffen unieke klanten, aangezien meerdere vermeldingen of aanvragen tot dezelfde persoon kunnen behoren en documentaantallen geen unieke slachtoffers bewijzen.
5. De vermeende gegevens zouden persoonlijke klantgegevens, leningaanvragen, ondersteunende documenten, rekeningopeningsformulieren, adresgegevens, Know Your Customer (KYC)-gegevens, Aadhaar-nummers en woonadressen kunnen bevatten.
6. Op 16 oktober 2026 rapporteerde CyberPulse de beschuldiging van Siriusim. Op 19 oktober 2026 meldde India Today dat SBI de beschuldigingen niet had beantwoord op het moment van publicatie.
7. De authenticiteit, bron en omvang van de vermeende blootstelling zijn niet geverifieerd. India Today kon de inbreuk niet onafhankelijk bevestigen.
8. Het is onduidelijk of het materiaal nieuw is of afkomstig uit eerdere lekken. De beschikbare rapporten stellen niet vast hoe de vermeende gegevens zijn verkregen.
9. De bron kon niet worden herleid tot SBI zelf, een dochteronderneming of een dienstverlener die bankapplicaties beheert. Er is geen geverifieerd bewijs dat een uitgebuit lek, gestolen inloggegevens of een gecompromitteerde server identificeert. Documenten met de naam van een bank maken op zichzelf geen toegang tot de kernbanksystemen duidelijk.
10. De genoemde details blijven beschuldigingen en geen bevestigde bevindingen van een onderzoek. Een onderzoek zou monsters moeten valideren, de eigenaar identificeren en de geclaimde gegevens controleren tegen systeembestanden voordat conclusies kunnen worden getrokken.
11. Indien de gegevens echt zijn, kunnen ze ondersteuning bieden voor identiteitsdiefstal, leningfraude en gerichte phishing.
12. Klanten wordt aangeraden onverwachte bankberichten te verifiëren via officiële kanalen, het delen van APK-bestanden te vermijden en wachtwoorden, pincodes of eenmalige wachtwoorden nooit bekend te maken.
13. SBI dient de claim te beoordelen, logboeken te bewaren en getroffen klanten te informeren indien een onderzoek de blootstelling bevestigt.