Cơ quan trung ương Ấn Độ yêu cầu dùng tên miền .bank.in nhưng cổng đăng ký bị rò rỉ dữ liệu nhạy cảm
"India’s Reserve Bank mandated that local banks use .bank.in domains to improve trust and reduce phishing, but the sole registrar, IDRBT, allegedly exposed an unauthenticated REST API. The leak reportedly revealed bcrypt password hashes, contact details, login metadata, and device fingerprints for 5,576 bank employees, and the issue was later fixed; no CVE was mentioned."
Rủi ro cao do REST API không xác thực có thể bị khai thác để thu thập bcrypt password hashes và device fingerprints, hỗ trợ mạo danh và tấn công nhắm mục tiêu. Điểm then chốt: lộ thông tin nhận dạng + metadata đăng nhập.
Tác động vận hành đáng kể vì dữ liệu liên quan nhân sự quản trị tên miền có thể làm tăng chi phí xử lý sự cố và nguy cơ gián đoạn niềm tin vào cơ chế tên miền. Điểm then chốt: tăng rủi ro gian lận mạo danh và yêu cầu rà soát tuân thủ cấu hình (DNS/Email).
Năm 2025, Reserve Bank of India (RBI) lập .bank.in và yêu cầu các ngân hàng trong nước sử dụng tên miền này cho hiện diện trực tuyến nhằm giảm rủi ro phishing và gian lận mạo danh. Tuy nhiên, một báo cáo và bài đăng gần đây cáo buộc đơn vị được chỉ định làm sole registrar cho không gian tên .bank.in là IDRBT đã triển khai sai và làm lộ dữ liệu nhạy cảm.
Theo cáo buộc, IDRBT Domain Registration Portal (registrar.idrbt.ac.in) đã “mở” toàn bộ REST API thông qua hơn 33 endpoint không yêu cầu xác thực. Người đăng bài cho biết có thể truy xuất bcrypt password hashes, số điện thoại, email, thông tin đăng nhập (login IP) và device fingerprints của 5,576 nhân sự ngân hàng được giao quản lý tên miền.
Bài đăng cũng nêu thêm các quan sát về cấu hình tên miền: khoảng 80% không dùng DNSSEC, 40% không áp dụng DMARC, và nhiều tên miền dùng chứng chỉ Let’s Encrypt miễn phí. Đến đầu tháng 6, phát hiện được công bố và IDRBT được cho là đã khắc phục các điểm yếu; hiện chưa thấy thông tin công khai về CVE. Khuyến nghị: rà soát lại quyền truy cập API, bật xác thực/authorization đầy đủ, kiểm tra cấu hình DNS (DNSSEC/DMARC) và đánh giá lại rủi ro lộ hash, metadata đăng nhập.