Violação de dados do Bank of Baroda em 2026

O Bank of Baroda informou, por meio de sua conta oficial nas redes sociais, que a conta de e-mail de um funcionário havia sido comprometida, resultando na divulgação não autorizada de determinadas informações. O banco afirmou que o problema foi identificado rapidamente e que medidas de contenção foram implementadas.

A Reuters e o The Indian Express noticiaram, de forma independente, o comunicado do banco e a investigação forense em andamento. Suas reportagens também abordaram alegações sobre dados publicados na dark web, mas o escopo confirmado pelo banco deve ser mantido separado das alegações do agente de ameaça.

Reportagens independentes afirmam que um arquivo atribuído ao Bank of Baroda apareceu na dark web na noite de 25 de julho. O banco confirmou o comprometimento da conta de e-mail do funcionário em 27 de julho, mas não divulgou quando o acesso inicial ocorreu nem por quanto tempo o invasor manteve o acesso.

O banco afirmou que havia iniciado uma investigação forense e que estava trabalhando com as autoridades competentes, conforme as exigências regulatórias. A data de 1º de julho é usada apenas como referência para registrar o mês no catálogo; ela não é apresentada como o dia da invasão, da descoberta ou da publicação.

O comunicado oficial do banco menciona apenas “determinadas informações” e não especifica quais categorias de dados estavam efetivamente envolvidas. Por isso, nomes, informações de contas, documentos de identificação e arquivos de empréstimos não são incluídos como categorias de dados confirmadas neste registro do catálogo.

Reportagens independentes afirmaram que pesquisadores observaram dados de clientes, documentos de identificação, documentos de empréstimos e registros de auditoria interna no arquivo publicado. Esses relatos continuam sendo achados de investigação reportados e não comprovam que todos os clientes tenham sido afetados em todas as categorias.

O Bank of Baroda não divulgou o número de clientes, pessoas ou registros afetados. A alegação de um agente de ameaça de que o volume seria de aproximadamente 1 TB é uma medida do volume de arquivos, não uma contagem de pessoas. Reportagens independentes afirmaram que o volume e o escopo alegados não haviam sido totalmente verificados.

Por isso, o número de pessoas afetadas é registrado como não divulgado. Linhas, arquivos ou documentos de um arquivo na dark web não devem ser convertidos em uma contagem no catálogo sem uma medição verificada por pessoa, com eliminação de duplicidades.

O banco afirmou que seus sistemas bancários centrais não foram invadidos, permaneceram seguros e que as transações dos clientes não foram afetadas. Isso não significa que nenhuma informação tenha saído da conta de e-mail do funcionário; trata-se da avaliação do banco sobre sua infraestrutura central de transações.

Informações sobre o contexto interno obtidas por meio de uma conta de e-mail poderiam ajudar invasores a elaborar mensagens mais convincentes direcionadas aos clientes. Uma mensagem que contenha o nome do banco, dados de funcionários ou referências a documentos não deve ser considerada confiável automaticamente.

Monitore a atividade da sua conta e os alertas de acesso. Verifique, pelos canais oficiais do banco, transferências, operações de empréstimo ou alterações de informações pessoais que você não esperava. Um banco nunca deve solicitar o PIN completo do cartão, um código de uso único ou a senha de acesso ao banco pela internet por e-mail ou aplicativos de mensagens.

Não use links de mensagens suspeitas; abra o aplicativo ou o site oficial do banco, ou ligue para o número impresso no cartão. Se o banco confirmar diretamente que documentos de identificação ou de empréstimos estavam envolvidos, monitore também relatórios de crédito, pedidos de abertura de novas contas e sinais de uso indevido da sua identidade.