Erklärt: Wie Schwachstellen in der bank.in-Registrierung der RBI 13 Monate lang sensible Daten offenlegten

Der unabhängige Forscher Srikanth L entdeckte über 33 nicht authentifizierte Endpunkte im '.bank.in'-Domain-Registrierungsportal der RBI, die über 13 Monate hinweg sensible Daten von 5.576 Bankmitarbeitern preisgaben. Der Vorfall umfasste Passwort-Hashes, Mobilnummern, E-Mails und Geräte-Fingerabdrücke. Zudem wurden 1.072 verwaiste Super-Admin-Konten gefunden, und ein privater Anbieter hatte globalen Admin-Zugriff. CERT-In behob das Problem innerhalb von 17 Tagen. Das Portal wurde ohne öffentliche Ausschreibung oder Sicherheitsüberprüfung erstellt.