AU Small Finance Bank enquête sur une fuite de données Salesforce

AU Small Finance Bank indique enquêter sur une possible fuite de données touchant son application Salesforce. Un groupe de pirates se faisant appeler ScarlettGroup affirme avoir dérobé des dossiers sensibles de clients et de l'entreprise, et menace de les publier si la banque n'ouvre pas de négociations sous six jours.

L'affaire a été signalée le 30 octobre 2026 par le compte de veille en cybersécurité H4ckmanac, dans une publication sur X. ScarlettGroup a mis en ligne un compte à rebours intitulé « Negotiation deadline » et des échantillons de documents floutés. L'ampleur de la fuite et le nombre de clients concernés restent flous, et ces affirmations n'ont pas été vérifiées de manière indépendante.

La réponse de la banque

La banque reconnaît qu'une violation a pu toucher son application Salesforce, un service en mode SaaS géré et hébergé par Salesforce. Selon son communiqué, cette plateforme ne contient qu'une faible quantité d'informations sur les clients du financement de véhicules.

« L'affaire fait l'objet d'une enquête. Nous réaffirmons à toutes les parties prenantes que les systèmes de la banque ne sont pas affectés et que tous les services fonctionnent normalement », a-t-elle déclaré. Les systèmes bancaires centraux ne seraient pas en cause, mais la banque n'a précisé ni le nombre de dossiers ni la nature des données concernées.

Ce que revendiquent les pirates

D'après les informations attribuées à ScarlettGroup, les données visées comprendraient des numéros Aadhaar, des informations PAN et des documents KYC ; des scores CIBIL, rapports de crédit, relevés bancaires et demandes de prêt ; des accords, documents signés et garanties ; des documents d'assurance et des données CRM ; ainsi que des données internes : annuaires des employés, historiques de connexion, adresses IP et journaux d'audit.

Conseils aux clients

Les clients doivent se méfier des appels, courriels et messages suspects se présentant comme émanant de la banque. Ils ne doivent communiquer ni code OTP, ni mot de passe bancaire, ni données Aadhaar à des interlocuteurs inconnus. Ils sont invités à surveiller leurs relevés et à signaler sans délai toute activité inhabituelle. L'enquête se poursuit, et la banque n'a pas encore détaillé l'exposition éventuelle.