Un rapport affirme que le registre .bank.in de l’Inde a exposé des données sensibles d’employés de banques

La banque centrale indienne a pris des mesures en 2025 pour renforcer la confiance dans les services bancaires en ligne en exigeant des banques nationales qu’elles utilisent l’espace de noms .bank.in pour leur présence sur le Web. L’objectif était de rendre l’hameçonnage et l’usurpation d’identité plus difficiles en offrant aux clients un moyen plus clair d’identifier les sites bancaires légitimes.

Un nouveau rapport affirme désormais que le système censé soutenir cette initiative était lui-même exposé à de graves problèmes de sécurité. Selon ses conclusions, l’Institute for Development and Research in Banking Technology (IDRBT), qui agit en tant que bureau d’enregistrement exclusif de cet espace de noms, aurait laissé un portail d’enregistrement accessible au public via de nombreux points de terminaison d’API non authentifiés.

Le rapport affirme que ces interfaces ouvertes auraient pu révéler d’importants volumes d’informations sur les employés des banques chargés de gérer les enregistrements de domaines. Les données auraient notamment inclus des condensats de mots de passe, des numéros de téléphone, des adresses e-mail, des adresses IP de connexion et des empreintes des appareils associés à des milliers d’utilisateurs. Le chercheur à l’origine de la divulgation a déclaré que le portail permettait également d’identifier la manière dont certaines banques hébergent leurs sites et l’emplacement de ces systèmes.

Autres préoccupations soulevées

• Certains sites bancaires auraient été hébergés sur une infrastructure mutualisée dans des pays comme les États-Unis, Singapour et la Lituanie.
• Environ 80 % des domaines .bank.in enregistrés n’utiliseraient pas DNSSEC.
• Près de 40 % ne disposeraient apparemment pas de DMARC, un mécanisme qui contribue à vérifier l’identité de l’expéditeur des e-mails.
• De nombreux domaines utiliseraient des certificats Let’s Encrypt gratuits.

Le chercheur a également affirmé que le portail avait été mis en ligne sans audit de sécurité complet et était resté exposé pendant plus d’un an. Les conclusions auraient été communiquées début juin, et le chercheur indique que l’IDRBT a depuis corrigé les faiblesses.

Bien que certaines données semblent avoir été publiées dans un dépôt GitHub après la divulgation, l’affirmation initiale est que l’exposition de l’API aurait pu fournir aux attaquants suffisamment d’informations pour usurper l’identité d’employés de banque ou faciliter des attaques d’hameçonnage et liées au DNS. Au moment de la publication, l’IDRBT, la Reserve Bank of India et le gouvernement indien n’avaient pas commenté publiquement ces allégations.