印度小型NBFC遭AI网络攻击损失约3亿卢比，监管披露滞后引发质疑

据报道，人工智能驱动的网络攻击在约两个月内从印度各地规模较小的非银行金融公司（NBFC）卷走了约3亿卢比，导致提交了150多份初步信息报告（FIR），《经济时报》援引“高层消息人士”报道称。

据《经济时报》报道：

攻击者主要针对营业额约10亿卢比或以下的小型NBFC。

在报道的一起案例中，一家总部位于德里的NBFC在一次攻击中损失了750万卢比，几天后又损失了725万卢比。

据报道，网络安全机构已将部分已完成的调查追溯到中国黑客平台CyberStrike。

报道中引用的专家认为，攻击者正在将Artex和CyberStrike这两款中国AI工具包与DeepSeek、Qwen、Kimi和GLM等开源模型结合使用。

“网络攻击以前也发生过，但在过去一个半月里，它们变得猖獗，一些公司遭遇了反复攻击，”一位匿名消息人士告诉《经济时报》。

为何重要：公众应如何了解网络攻击、数据泄露或此类事件造成的经济损失？理想情况下，不应通过新闻报道来了解。负责印度网络安全的监管机构，包括印度储备银行（RBI）、CERT-In以及CERT-In的金融安全部门CSIRT-Fin，应当披露此类信息。

然而，CERT-In关于这些攻击的公开公告以及任何RBI通知均未提及《经济时报》报道的损失数字。

这些公开公告的笼统和模糊性质，使得客户、借款方和其他利益相关者只能依赖媒体报道（如果此类事件被报道的话）来了解影响金融机构的网络攻击。

更令人担忧的是，金融机构似乎只有在信息通过非官方渠道曝光后才正式承认此类事件。例如：

印度中央银行1397万卢比的损失是通过《印度斯坦时报》对其警方投诉的报道才公之于众的。

SBI于10月21日向证券交易所披露了其数据泄露事件，而两天前有报道称一名威胁行为者声称在暗网上拥有这些数据。

CoinDCX的首席执行官于10月22日称泄露报道是虚惊一场，但三天后却承认损失了1.52亿卢比。

《经济时报》还报道称，CERT-In已建议各组织优先处理与Artex和CyberStrike相关的警报。然而，CERT-In迄今发布的公开通知均未具体提及任何受影响的公司或实体。

CERT-In关于近期网络攻击的表态

10月9日：CERT-In及其金融部门CSIRT-Fin向NBFC、数字贷款机构、金融科技公司、支付服务提供商和钱包运营商发布了“严重”级别公告。

该公告描述了攻击者如何窃取支付网关和合作银行应用程序编程接口（API）凭证，然后直接访问放款API。这使他们能够绕过KYC检查和每笔交易限额。

然而，该公告未点名任何受影响实体，也未指明具体威胁行为者或其作案手法。据其记录，该公告也未披露CERT-In记录了多少起事件或被窃金额。

10月15日：第二份公告警告称，AI代理未经授权访问印度系统。公告称，具有经济动机的攻击者利用公开可用的、AI原生的攻击性安全框架对印度实体开展了网络行动。

然而，该公告未具体指明所使用的工具，也未点名任何受影响实体。

10月27日：CERT-In开展了一次为期一天的演练，涉及来自55家以上金融机构的300多名官员，主要是地区农村银行和合作银行。其公开帖子未提及NBFC或任何经济损失。

数据泄露的报告时限是什么？

CERT-In：其2022年指令要求各组织在发现网络安全事件后六小时内报告。

RBI：其2026年7月的指令要求NBFC通过其DAKSH平台在六小时内报告网络事件。

SEBI：要求受监管市场实体在发现网络安全事件后六小时内向SEBI和CERT-In报告。随后还需进行额外披露。上市公司还有向证券交易所报告的义务，通常为12小时内。

DPDP法案：该法律要求必须在72小时内通知印度数据保护委员会（DPB），同时必须“毫不延迟地”通知受影响的个人。

数据受托人在数据泄露情况下的披露义务是什么？

《数字个人数据保护（DPDP）法案》第8(6)条要求数据受托人就个人数据泄露通知DPB（该机构尚待完全建立）以及每一位受影响的个人。

《2025年DPDP规则》第7(1)条要求数据受托人“毫不延迟地”以通俗语言通知受影响的个人。通知必须包括：

对泄露事件的描述，包括其性质、范围和发生时间。

受影响个人可能面临的后果。

为降低风险所采取的措施。

个人可采取的安全步骤。

可回答有关泄露查询的人员联系方式。

根据第7(2)条，数据受托人还必须立即通知DPB，并在72小时内提交详细报告。该报告必须包含关于泄露原因的调查结果，以及向受影响个人发送通知的详情。

然而，该规则要到2027年5月13日才生效。目前也不清楚这些攻击是否涉及个人数据泄露，因为CERT-In的公告描述的是通过支付API窃取资金的事件。

MediaNama已致函RBI、SEBI、CERT-In和CSIRT-Fin，就以下问题寻求答复。我们将在收到答复后更新本文。

致RBI的问题：

能否证实《经济时报》关于约3亿卢比损失和近150起投诉的估计，以及自8月以来有多少家NBFC报告了网络事件。

其2026年7月31日的网络安全指令，或任何其他规定六小时报告窗口的指令，是否适用于NBFC。

NBFC是否必须告知客户影响其资金或数据的网络事件；如果不需要，RBI是否会在DPDP规则出台前发布此类指令。

是否已对任何NBFC采取或正在考虑采取监管行动，以及是否会公布汇总的事件和损失数据。

致SEBI的问题：

是否有任何上市NBFC根据《2015年SEBI上市义务和披露要求条例》第30条披露了这些损失。

SEBI是否认为这一规模的网络欺诈损失属于重大事项而须予披露，以及是否会为披露网络事件设定时限。

是否已要求上市金融实体确认已通知受影响客户。

有多少家NBFC和金融科技公司根据10月9日的公告或更早的公告报告了事件，以及能否证实《经济时报》的数据。

据《经济时报》报道，其何时以及如何就Artex和CyberStrike向NBFC发出警报，以及警报是否超出了已发布的公开公告。

是否会公布关于事件、损失和补救状态的汇总、非归因数据。

是否跟踪受影响实体是否已通知其客户，以及在收到事件报告后会采取什么行动。

另请阅读

AI代理未经授权访问印度系统：CERT-In

黑客通过API劫持绕过KYC，CERT-In警告金融科技公司

SBI确认3,897名客户的数据在暗网泄露

[googlesitekit-end-of-content]

WP QUADS内容广告插件 v. 3.0.5.1

为你推荐

阅读Nikhil Pahwa的《理性思考》：AI如何改变我们的世界

赞助一场MediaNama活动