Un grupo hacker afirma haber accedido a 375.000 registros y 2.722 documentos del State Bank of India (SBI), el mayor banco público del país asiático. La entidad no confirmó ni desmintió la brecha al cierre de esta nota, según se informó el 21 de octubre de 2026.
El reclamo fue difundido por el grupo atacante sin que mediara una divulgación oficial del SBI. La información circula en foros especializados y fue recogida por medios de tecnología en India. Hasta el momento de publicación, el banco no emitió un comunicado reconociendo el incidente ni precisó qué sistemas o bases de datos habrían sido comprometidos, según se informó.
Datos confirmados al 21 de octubre de 2026
- Registros alegados como comprometidos: 375.000 (3,75 lakh en notación india)
- Documentos alegados como exfiltrados: 2.722
- Actor: grupo hacker no identificado oficialmente
- Confirmación oficial del SBI: ninguna al cierre de esta nota
- Naturaleza de los datos expuestos: no especificada en la información disponible
Qué se sabe y qué falta confirmar
Lo confirmado se limita a la existencia del reclamo por parte del grupo atacante y a las cifras que él mismo publicó. No hay verificación independiente del volumen ni del tipo de datos involucrados. Permanece sin confirmar si los registros corresponden a clientes individuales, empleados o contrapartes corporativas, y si incluyen datos sensibles como información financiera, documentos de identidad o credenciales de acceso. También es incierta la vía de intrusión —vulnerabilidad en infraestructura propia, proveedor tercero o credenciales comprometidas— y si el SBI tiene conocimiento del incidente y activó protocolos de notificación ante el Reserve Bank of India (RBI) o el Computer Emergency Response Team de India (CERT-In), que exige notificación de incidentes en un plazo de seis horas bajo las directrices vigentes.
Para las organizaciones financieras de América Latina, el caso reitera una tensión conocida: los reguladores de la región —desde el Banco Central de Brasil (BACEN) bajo la Resolución CMN 4.893 hasta la Comisión Nacional Bancaria y de Valores de México y el BCRA en Argentina con la Comunicación A 7724— exigen tiempos de notificación acotados ante incidentes que afecten datos de clientes. Cuando la institución no confirma ni desmiente de manera oportuna, el vacío informativo amplifica el daño reputacional y puede derivar en sanciones por incumplimiento del deber de notificación, independientemente de si la brecha es luego validada o descartada.
El próximo hito crítico es la respuesta oficial del SBI: si el banco guarda silencio más allá del plazo de seis horas que impone CERT-In, el incumplimiento procedimental podría convertirse en un problema regulatorio separado del incidente mismo.
