Un rapporto afferma che il registro indiano .bank.in ha esposto dati sensibili dei dipendenti bancari

Nel 2025 la banca centrale indiana ha adottato misure per rafforzare la fiducia nell’online banking, imponendo alle banche nazionali di utilizzare lo spazio dei nomi .bank.in per la propria presenza web. L’obiettivo era rendere più difficili phishing e impersonificazione, offrendo ai clienti un modo più chiaro per identificare i siti bancari legittimi.

Un nuovo rapporto sostiene ora che il sistema concepito per supportare questo obiettivo fosse a sua volta esposto a gravi problemi di sicurezza. Secondo i risultati, l’Institute for Development and Research in Banking Technology (IDRBT), che opera come registrar esclusivo dello spazio dei nomi, avrebbe lasciato accessibile al pubblico un portale di registrazione attraverso numerosi endpoint API non autenticati.

Il rapporto afferma che le interfacce aperte avrebbero potuto rivelare grandi quantità di informazioni sul personale bancario responsabile della gestione delle registrazioni dei domini. I dati avrebbero incluso hash delle password, numeri di telefono, indirizzi email, indirizzi IP di accesso e impronte digitali dei dispositivi associate a migliaia di utenti. Il ricercatore che ha segnalato il problema ha dichiarato che il portale permetteva inoltre di individuare come alcune banche ospitassero i propri siti e dove fossero ubicati tali sistemi.

Ulteriori preoccupazioni

• Secondo quanto riferito, alcuni siti web bancari erano ospitati su infrastrutture condivise in Paesi tra cui Stati Uniti, Singapore e Lituania.
• Si è affermato che circa l’80% dei domini .bank.in registrati non utilizzasse DNSSEC.
• Secondo quanto riferito, circa il 40% non disponeva di DMARC, un controllo che aiuta a verificare l’identità del mittente nelle email.
• Secondo quanto riportato, molti domini utilizzavano certificati gratuiti di Let’s Encrypt.

Il ricercatore ha inoltre sostenuto che il portale fosse stato messo online senza una revisione completa della sicurezza e che fosse rimasto esposto per oltre un anno. Secondo quanto riferito, i risultati sono stati condivisi all’inizio di giugno e il ricercatore afferma che da allora l’IDRBT ha corretto le vulnerabilità.

Sebbene alcuni dati sembrino essere stati pubblicati in un repository GitHub dopo la divulgazione, la tesi originale è che l’esposizione delle API avrebbe potuto fornire agli aggressori informazioni sufficienti per impersonare il personale bancario o supportare attacchi di phishing e attacchi legati al DNS. Al momento della pubblicazione, l’IDRBT, la Reserve Bank of India e il governo indiano non avevano commentato pubblicamente le accuse.