Bericht: Das .bank.in-Register Indiens legte sensible Daten von Bankmitarbeitern offen

Indiens Zentralbank leitete 2025 Maßnahmen ein, um das Vertrauen in das Onlinebanking zu stärken. Dafür wurden inländische Banken verpflichtet, die Domainendung .bank.in für ihre Webpräsenzen zu verwenden. Ziel war es, Phishing und Identitätsmissbrauch zu erschweren, indem Kunden eine klarere Möglichkeit zur Identifizierung legitimer Bank-Websites erhalten sollten.

Ein neuer Bericht behauptet nun, dass das System, das diese Bemühungen unterstützen sollte, selbst gravierende Sicherheitsprobleme aufwies. Den Untersuchungsergebnissen zufolge ließ das Institute for Development and Research in Banking Technology (IDRBT), das als exklusiver Registrar für diese Domainendung fungiert, ein öffentlich zugängliches Registrierungsportal über zahlreiche nicht authentifizierte API-Endpunkte erreichbar.

Dem Bericht zufolge hätten die offenen Schnittstellen große Mengen an Informationen über Bankmitarbeiter offenlegen können, die für die Verwaltung von Domainregistrierungen zuständig sind. Zu den Daten gehörten angeblich Passwort-Hashes, Telefonnummern, E-Mail-Adressen, IP-Adressen bei der Anmeldung und Geräte-Fingerabdrücke, die Tausenden Benutzern zugeordnet waren. Der Forscher hinter der Offenlegung erklärte, das Portal habe außerdem die Möglichkeit geboten, festzustellen, wie einige Banken ihre Websites hosten und wo sich diese Systeme befinden.

Weitere aufgeworfene Bedenken

• Einige Bank-Websites wurden Berichten zufolge auf gemeinsam genutzter Infrastruktur in Ländern wie den Vereinigten Staaten, Singapur und Litauen gehostet.
• Bei etwa 80 % der registrierten .bank.in-Domains soll DNSSEC nicht aktiviert gewesen sein.
• Rund 40 % verfügten Berichten zufolge nicht über DMARC, eine Maßnahme zur Überprüfung der Absenderidentität bei E-Mails.
• Viele der Domains sollen kostenlose Let’s-Encrypt-Zertifikate verwendet haben.

Der Forscher behauptete außerdem, das Portal sei ohne vollständige Sicherheitsüberprüfung online gegangen und länger als ein Jahr exponiert geblieben. Die Ergebnisse wurden Berichten zufolge Anfang Juni mitgeteilt. Der Forscher sagt, IDRBT habe die Schwachstellen inzwischen behoben.

Während einige der Daten nach der Offenlegung offenbar in einem GitHub-Repository veröffentlicht wurden, lautet die ursprüngliche Behauptung, dass die API-Exposition Angreifern genügend Informationen hätte liefern können, um sich als Bankmitarbeiter auszugeben oder Phishing- und DNS-bezogene Angriffe zu unterstützen. Zum Zeitpunkt der Veröffentlichung hatten IDRBT, die Reserve Bank of India und die indische Regierung die Vorwürfe noch nicht öffentlich kommentiert.