এসবিআই জানিয়েছে, গত ১৬ অক্টোবর তথ্য ফাঁসের আশঙ্কার বিষয়ে তারা প্রথম সতর্কবার্তা পায় এবং ২১ অক্টোবর বিষয়টি আনুষ্ঠানিকভাবে প্রকাশ করে। তবে ভারতের জাতীয় সাইবার নিরাপত্তা সংস্থা সার্ট-ইন-এর নির্দেশনা অনুযায়ী, যেকোনো সাইবার হামলা বা তথ্য ফাঁসের ঘটনা শনাক্তের ছয় ঘণ্টার মধ্যে কর্তৃপক্ষকে জানানোর বাধ্যবাধকতা রয়েছে। ফলে পাঁচ দিন পর তথ্য প্রকাশের এই সময়সীমা নিয়ে প্রশ্ন উঠেছে।
ভারতের তথ্যপ্রযুক্তি (আইটি) আইন, ২০০০-এর ৪৩এ ধারা অনুযায়ী, সংবেদনশীল তথ্য সুরক্ষায় কোনো বাণিজ্যিক প্রতিষ্ঠান অবহেলা করলে এবং তার কারণে কারও আর্থিক ক্ষতি হলে ক্ষতিগ্রস্ত ব্যক্তি ক্ষতিপূরণ দাবি করতে পারেন। এ ছাড়া সেবায় ঘাটতির অভিযোগে ২০১৯ সালের ভোক্তা অধিকার আইনের আওতায়ও প্রতিকার চাওয়ার সুযোগ রয়েছে। তবে ব্যক্তিগত তথ্য অনলাইনে ছড়িয়ে পড়াই সরাসরি ব্যাংকের অবহেলা প্রমাণের জন্য যথেষ্ট নয়; ক্ষতিপূরণ পেতে আইনি প্রক্রিয়ায় ব্যাংকের গাফিলতি ও সুনির্দিষ্ট আর্থিক ক্ষতি প্রমাণ করতে হবে।
ভারতে ডিজিটাল ব্যক্তিগত তথ্য সুরক্ষা আইন (ডিপিডিপি) ২০২৩ সালে পাস হলেও এর মূল বিধানগুলো ২০২৭ সালের মে মাসে কার্যকর হওয়ার কথা রয়েছে। ফলে বর্তমান ঘটনায় এই নতুন আইনের আওতায় সর্বোচ্চ ২৫০ কোটি রুপি পর্যন্ত জরিমানার বিধান এখনই ব্যাংকটির ওপর কার্যকর হচ্ছে না। তবে দেশটির কেন্দ্রীয় ব্যাংক রিজার্ভ ব্যাংক অব ইন্ডিয়ার (আরবিআই) সাইবার নীতিমালা অনুযায়ী, সাইবার হামলার আগেই গ্রাহকদের আর্থিক ও ব্যক্তিগত তথ্যের সার্বক্ষণিক সুরক্ষা নিশ্চিত করা প্রতিটি ব্যাংকের বাধ্যতামূলক দায়িত্ব।
বিশেষজ্ঞরা জানিয়েছেন, ব্যক্তিগত তথ্য ফাঁস মানেই ব্যাংক অ্যাকাউন্ট থেকে সরাসরি অর্থ চুরি হওয়া নয়। তবে সাইবার অপরাধীরা এসব তথ্য ব্যবহার করে ভুয়া ফোন কল বা বার্তা পাঠিয়ে গ্রাহকদের বিভ্রান্ত করতে পারে। এ পরিস্থিতিতে ব্যাংক কর্মকর্তা পরিচয়ে আসা কোনো কলে পাসওয়ার্ড, পিন বা ওটিপি শেয়ার না করার পরামর্শ দেয়া হয়েছে। কোনো সন্দেহজনক লেনদেন চোখে পড়লে অবিলম্বে ব্যাংক কর্তৃপক্ষ এবং জাতীয় সাইবার হেল্পলাইন ১৯৩০ নম্বরে যোগাযোগ করার তাগিদ দেয়া হয়েছে।
