インド国営銀行へ不正アクセスによるサイバー攻撃、攻撃者は多数の個人情報窃取を主張

インドの国営銀行Bank of Barodaは2026年7月27日、従業員1人のメールアカウントが侵害され、一部のデータへ不正アクセスされたサイバーインシデントを確認したと公表しました。銀行は事案を把握後に封じ込めを行い、コアバンキングシステムはアクセスを受けておらず、安全な状態を維持していると説明しています。一方、攻撃者を名乗る人物は、顧客情報、本人確認書類、融資資料、法人取引記録、内部メール、監査資料など700GB超を窃取・公開したと一方的に主張しています。Bank of Barodaは攻撃者の主張、流出量、影響人数、顧客情報の持ち出しを確認しておらず、本稿執筆時点では公式発表と攻撃者側の主張を分けて評価する必要があります。

Bank of Barodaのメールアカウント侵害とデータ窃取主張の概要サマリー

• Bank of Barodaは2026年7月27日、従業員のメールアカウントが侵害されたと公表しました
• 銀行は、侵害されたメールアカウントを通じて一部のデータへ不正アクセスされたことを確認しています
• コアバンキングシステムへのアクセスや影響は確認されていません
• 銀行は事案を把握後、直ちに封じ込め措置を実施し、フォレンジック調査を開始しました
• 攻撃者を名乗る人物は、顧客情報や融資資料など700GB超を窃取・公開したと一方的に主張しています
• 別の報道では約1TBとの数字も示されていますが、Bank of Barodaは流出量を確認していません
• 攻撃者側はサンプルやデータセットをダークウェブ上で提示したと報じられていますが、真正性は独立に検証されていません
• 顧客情報の種類、対象人数、侵入経路、侵害されたメールボックスの範囲は公表されていません
• Bank of Barodaは関係当局と連携していると説明していますが、RBIやCERT-Inへの報告日時と内容は未公表です
• 本稿執筆者は攻撃者の掲載先やサンプルデータを直接確認しておらず、リークサイトのURLも掲載しません

項目	内容
公表日	2026年7月27日
被害組織	Bank of Baroda
所在国	インド
確認された侵害	従業員1人のメールアカウントへの不正アクセス
確認されたデータ影響	一部のデータへの不正アクセス
コアバンキングシステム	アクセスや影響は確認されていない
攻撃者名	leak-king-Fを名乗る人物と研究者が報告。銀行による帰属確認なし
攻撃者側の主張	顧客情報、法人取引記録、内部メール、融資資料、監査資料などを窃取・公開したと主張
主張されたデータ量	700GB超との報道。一部報道では約1TB
サンプルデータ	公開・販売ページで提示されたと報道。真正性は未検証
漏洩情報の内容	銀行による確定情報は未公表
影響人数	未公表
侵入経路	メールアカウント侵害の原因は未公表
不正送金・残高への影響	公表情報では確認されていない
対応状況	封じ込め、フォレンジック調査、関係当局との連携
RBI・CERT-Inへの報告	銀行は関係当局と連携していると説明。個別の報告先・日時は未公表
本稿での確認状況	攻撃者の掲載先やデータを直接確認していない

従業員のメールアカウントから一部データへ不正アクセス

Bank of Barodaは、従業員のメールアカウントが侵害され、その結果、一部のデータへ不正アクセスされたと説明しています。

銀行は問題を速やかに把握し、直ちに封じ込め措置を実施しました。外部の専門家を含む包括的なフォレンジック調査を開始し、適用される規制上の要件に従って関係当局と連携しているとしています。

現時点で銀行が公式に確認している侵害の起点は、従業員のメールアカウントです。

フィッシングによって認証情報を入力したのか、パスワードの使い回しや過去の認証情報流出があったのか、端末上のマルウェアやセッショントークン窃取が使われたのかは公表されていません。

多要素認証の設定状況、侵害されたアカウントの権限、メールボックスの保存期間、共有フォルダーやクラウドストレージへの接続範囲も明らかにされていません。

従業員メールの侵害という表現だけでは、攻撃者が閲覧できた情報の範囲を判断できません。メール本文と添付ファイルに加え、アカウントに付与された権限を使って別のシステムや共有データへアクセスした可能性も調査対象になります。

コアバンキングシステムへの影響は確認されず

Bank of Barodaは、コアバンキングシステムはアクセスを受けておらず、安全な状態を維持していると説明しています。

コアバンキングシステムは、預金残高、入出金、振り込み、融資、口座管理など、銀行業務の中核を処理する基盤です。

このシステムへの侵入が確認されていないことは、攻撃者が預金残高を変更したり、銀行取引を直接操作したりした事実が確認されていないことを意味します。

一方、コアバンキングシステムが無事であることと、顧客情報が漏洩していないことは別の問題です。

銀行のメールには、融資申請、本人確認、法人顧客との連絡、内部監査、問い合わせ対応、契約、添付資料などが含まれる可能性があります。周辺の文書管理システムや共有ストレージへアクセスできた場合、コアバンキングへ侵入せずに機微な情報を取得することも可能です。

利用者は、コアバンキングへの影響なしという説明を、インシデント全体に影響がなかったとの意味で受け取らないよう注意が必要です。

攻撃者は700GB超のデータ窃取を主張

The RecordやReutersなどによると、leak-king-Fを名乗る人物が、Bank of Barodaから取得したとするデータをダークウェブ上で販売・公開しました。

攻撃者側は、顧客情報、本人確認書類、普通・当座預金に関する資料、融資文書、法人向け銀行業務の記録、内部メール、監査資料などが含まれると主張しています。

Reutersは、掲載データのメタデータを確認した研究者の説明として、データ量が700GBを超えると報じました。一部の周辺報道では約1TBとも伝えられています。

これらは攻撃者または外部研究者による情報であり、Bank of Barodaが確認した数字ではありません。

対象となった顧客数も明らかになっていません。数十万件の申込書が含まれるとの主張もありますが、重複ファイル、過去資料、内部文書、システムバックアップなどが混在している可能性があり、データ容量から影響人数を推定することはできません。

銀行は攻撃者の主張について個別に認めておらず、顧客データが実際に外部へ持ち出されたかも公表していません。

サンプルデータの真正性は確認されていない

複数の研究者や報道機関は、攻撃者が販売ページや関連するオンライン上の投稿で、Bank of Barodaに関係するとするサンプル文書を提示したと報告しています。

Reutersによると、データは2026年7月25日夜にダークウェブ上で確認されました。The Recordは、攻撃者が販売希望者をTelegramへ誘導していたと伝えています。

本稿執筆者は、攻撃者の掲載先、Telegram、公開されたとされるデータを直接確認していません。

サンプルが実在する銀行資料に見える場合でも、過去に流出した文書、第三者から取得した情報、偽造資料を混ぜて被害を大きく見せる可能性があります。

反対に、一部のサンプルが真正であっても、攻撃者が主張する全データ量や全情報項目が正しいとは限りません。

攻撃者側の掲載内容は一方的な主張であり、銀行のフォレンジック調査や当局の確認による裏付けが必要です。

リークサイトのURLや画面を拡散すると、攻撃者の宣伝、データの二次拡散、被害者情報へのアクセスを助長するため、本記事では掲載しません。

メール侵害だけで大量の情報へ到達する可能性

従業員のメールアカウントは、単なる連絡手段ではありません。

メールボックスには、顧客や取引先との長期的なやり取り、添付ファイル、会議招待、連絡先、社内システムへの通知、パスワード再設定メールなどが集まります。

攻撃者がメールアカウントを取得すると、過去の文面を検索し、銀行名、顧客名、口座情報、融資、監査、パスワード、共有リンクなどのキーワードから価値の高い情報を抽出できます。

メールに保存された共有リンクが追加認証を必要としない場合や、メールアカウントがMicrosoft 365やGoogle WorkspaceなどのクラウドIDと統合されている場合、メール以外のファイルへ到達する可能性もあります。

メールアカウントからの情報窃取では、ファイルサーバーのように一つの監査ログへアクセスが集中しないことがあります。検索、同期、転送ルール、API、OAuthアプリを使われると、通常のWebログインだけを確認しても侵害範囲を把握できません。

大量流出主張とメール1アカウント侵害の関係は未解明

今回の事案では、銀行が確認した従業員メール1アカウントの侵害と、攻撃者が主張する700GB超のデータとの関係が明らかになっていません。

一つのメールボックスだけに700GBを超えるデータが保存されていたのか、アカウント経由で別のストレージへアクセスしたのか、他のアカウントやシステムにも侵害が広がったのかは不明です。

攻撃者が別の侵入経路で取得した情報を、メールアカウント侵害と同じ事件として提示している可能性も排除できません。

フォレンジック調査では、メールの監査ログだけでなく、クラウドストレージ、文書管理、端末、ID基盤、VPN、プロキシ、DLP、APIアクセスを横断して確認する必要があります。

確認すべき項目には、次のようなものがあります。

• 通常とは異なる国やIPアドレスからのログイン
• MFA登録情報や復旧先の変更
• 不審なメール転送ルールや受信トレイルール
• 新規OAuthアプリやAPIトークンへの同意
• メールボックスの大量検索・一括取得
• 共有ストレージへの大量アクセス
• 添付ファイルや文書の外部送信
• 監査ログの無効化や保存期間の変更
• 別の従業員へのフィッシングメール送信
• 顧客や取引先へのなりすましメール

銀行の追加発表が行われるまでは、メールアカウント侵害を起点とする限定的な事案とも、大規模な顧客情報漏洩とも断定できません。

RBIとCERT-Inへの報告状況

Bank of Barodaは、関係当局と連携し、適用される規制上の要件に従って対応していると説明しています。

ただし、インド準備銀行（RBI）やIndian Computer Emergency Response Team（CERT-In）へ、いつ、どの内容を報告したのかは公表していません。

RBIの銀行向けサイバーセキュリティ枠組みでは、銀行はサイバーインシデントをRBIへ2～6時間以内に報告するための様式が示されています。

CERT-Inが2022年に発出した指令では、対象となるサイバーインシデントを把握後6時間以内に報告することを求めています。

The RecordとReutersの報道時点では、RBIやCERT-Inから本件に関する個別の公式発表は確認されていません。

報告が行われていないことを意味するものではありません。当局への非公開報告と、一般向けの公表は別の手続きです。

銀行による今後の発表では、調査結果、情報持ち出しの有無、対象顧客、本人通知、規制当局への確報、再発防止策が焦点になります。

顧客を狙うフィッシングやなりすましに注意

攻撃者の主張が確認されていない段階でも、Bank of Barodaの名前を使った二次攻撃が発生する可能性があります。

報道内容を見た別の犯罪者が、セキュリティ確認、口座保護、KYC更新、カード再発行、融資審査、返金などを口実に、顧客へ電話やメール、SMSを送る可能性があります。

攻撃者が実際の顧客情報や文書を取得していた場合、氏名、支店、口座種別、融資内容、担当者名などを会話へ含め、連絡の信頼性を高めることができます。

顧客は、次の情報をメールや電話で求められても提供しないことが重要です。

• インターネットバンキングのパスワード
• カードの暗証番号
• ワンタイムパスワード
• CVV
• UPI PIN
• 本人確認書類の再送
• 遠隔操作アプリのインストール
• 口座保護を名目とする別口座への送金

メールやSMSに記載された連絡先やリンクを使用せず、Bank of Barodaの公式Webサイト、公式アプリ、カード裏面、既知の支店連絡先から確認する必要があります。

金融情報の漏洩が疑われる場合の二次被害については、消費者金融のファーストで会員情報が漏洩した事案でも、債務状況や口座情報を使った標的型詐欺の危険性を解説しています。

コアシステムを守っても周辺データが狙われる

金融機関はコアバンキング、決済、ATM、SWIFTなどの重要システムへ強いセキュリティ対策を実施しています。

攻撃者は、防御が強い中核システムへ正面から侵入する代わりに、メール、文書共有、監査資料、融資審査、顧客対応などの周辺システムを狙うことがあります。

周辺システムには、中核システムから出力された帳票や顧客情報が保存される一方、利用者が多く、社外とのファイル交換やメール送付も頻繁です。

コアシステムが分離されていても、周辺の業務データが大量に流出すれば、金融機関への信頼、顧客保護、規制対応に大きな影響が出ます。

セキュリティ対策では、システムの可用性だけでなく、どの情報がメールやローカル端末、共有フォルダーへ複製されているかを把握する必要があります。

情報システム部門への示唆

情報システム部門は、メールアカウントを侵害された後にパスワードを変更するだけで対応を終えないでください。

攻撃者がセッショントークン、OAuthアプリ、転送ルール、アプリパスワードを残している場合、パスワード変更後もアクセスが継続する可能性があります。

対象アカウントの全セッションを失効し、MFA登録、復旧情報、転送設定、メールボックス委任、OAuth同意、APIトークン、共有リンクを確認します。

侵害された利用者の端末では、認証情報を窃取するマルウェア、ブラウザー拡張機能、Cookie、保存済みパスワードを調査します。

メールボックスからアクセス可能だった文書、顧客情報、共有ストレージを特定し、ダウンロード量や外部送信を監査してください。

組織的な対策では、次の項目が重要です。

• フィッシング耐性のあるMFAを導入する
• レガシー認証とアプリパスワードを無効化する
• 条件付きアクセスで管理端末と接続地域を制限する
• メールボックスの大量取得や異常検索を検知する
• 不審な転送ルールとOAuth同意を監視する
• 顧客情報をメール添付で保管・送信する運用を減らす
• 共有リンクへ有効期限と追加認証を設定する
• メール、ID、端末、クラウドストレージのログを統合する
• 侵害後の顧客通知とフィッシング注意喚起を事前に準備する
• ダークウェブ上の主張をそのまま事実認定せず、内部ログと照合する

メールアカウント乗っ取りが増加している背景と対策については、ディーネットが注意喚起したメールアカウント乗っ取り事例も参考になります。

攻撃者が公開したと主張するデータを調査する場合は、担当者が直接ダウンロードするのではなく、法務、インシデント対応会社、捜査機関と連携してください。データの取得や保存によって、個人情報の二次拡散、マルウェア感染、法的問題が生じる可能性があります。

Bank of Barodaの今後の調査結果では、メールアカウントの侵害原因、持ち出された情報、対象顧客数、攻撃者の主張との一致、顧客への通知、再発防止策を確認する必要があります。

出典

• Bank of Baroda公式Webサイト – Bank of Baroda
• Bank of Baroda公式Xアカウント – Bank of Baroda
• Cyber Security Framework in Banks – Reserve Bank of India
• Directions under Section 70B of the Information Technology Act – CERT-In
• India’s Bank of Baroda confirms cyber incident after hackers claim data theft – The Record
• Customer data from India’s Bank of Baroda leaked online, source and researcher say – Reuters
• 大気社、海外グループ会社のメールアカウントに不正アクセス – セキュリティ対策Lab
• 消費者金融のファースト、不正アクセスで会員の個人情報漏洩 – セキュリティ対策Lab
• ディーネット、メールアカウント乗っ取りと大量スパム送信の急増を注意喚起 – セキュリティ対策Lab