El State Bank of India (SBI) confirmó la exposición de 3.897 registros de clientes que contenían información personal, según informó Business Viewpoint Magazine el 23 de octubre de 2025. El incidente representa uno de los compromisos de datos más recientes que involucra a una institución financiera de escala sistémica.
Según se informó, los registros expuestos contienen datos personales de clientes del banco estatal indio, aunque al cierre de esta nota no se había detallado públicamente qué tipos de campos específicos —nombre, número de cuenta, documento de identidad, datos de contacto— estaban incluidos en el conjunto afectado. Tampoco se confirmó el vector de ataque ni si la exposición se produjo por acceso no autorizado externo, error de configuración interno o un tercero proveedor.
Datos confirmados sobre el incidente
- Registros expuestos: 3.897 (dato confirmado por la fuente)
- Tipo de datos: información personal de clientes del SBI
- Institución afectada: State Bank of India, banco público con presencia en más de 50 países
- Fecha de reporte público: 23 de octubre de 2025
- Vector de exposición: no confirmado al momento de publicación
Qué se sabe y qué falta confirmar
Lo confirmado es la cifra de registros y la naturaleza personal de los datos involucrados. Lo que permanece sin verificar incluye si el SBI notificó a los titulares afectados, si se activaron protocolos de respuesta ante incidentes conforme a la normativa india —la Digital Personal Data Protection Act de 2023 establece obligaciones de notificación al regulador y a los titulares, aunque su reglamentación aún está en proceso—, y si existe algún actor externo identificado como responsable. Tampoco hay confirmación sobre si los datos llegaron a circular en foros de filtración o mercados clandestinos.
Para las instituciones financieras de América Latina con operaciones o corresponsalía con bancos de escala global, el caso refuerza la necesidad de revisar los controles sobre datos de clientes compartidos con terceros. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige notificación a la ANPD “em prazo razoável” ante incidentes de seguridad que puedan acarrear riesgo relevante a los titulares. En Argentina, la Ley 25.326 y las disposiciones de la AAIP contemplan obligaciones similares, aunque con umbrales distintos. En México, el INAI ha sancionado a entidades financieras por no notificar brechas en tiempo y forma bajo la LFPDPPP. Un incidente con menos de 4.000 registros puede parecer menor, pero si los datos incluyen información sensible —credenciales, datos financieros, documentos de identidad—, activa los mismos umbrales de notificación que una brecha masiva en prácticamente todos los marcos regulatorios de la región.
El próximo hito crítico es la publicación del informe de notificación del SBI al regulador indio, que determinará si la respuesta institucional cumple con los plazos previstos por la DPDPA 2023 y si otros bancos con vínculos corresponsales deben activar sus propios protocolos de gestión del incidente.
