El State Bank of India (SBI) enfrenta una investigación activa tras confirmarse que datos personales de 3.897 clientes fueron expuestos en la dark web, según informó The Statesman el 21 de octubre de 2025. El banco abrió una pesquisa formal para determinar el origen de la filtración.
La información comprometida incluye datos personales de clientes del banco estatal más grande de India por activos. Según se informó, los registros circularon en foros de la dark web antes de que el incidente fuera detectado y reportado públicamente. El SBI no precisó en la divulgación inicial qué categorías exactas de datos —nombres, números de cuenta, información de identidad fiscal u otros— forman parte del conjunto expuesto, aunque la naturaleza del banco y el volumen sugieren que se trata de información financiera y de identificación personal.
Datos confirmados del incidente
- Registros expuestos: 3.897 clientes del SBI
- Canal de exposición: dark web, según se informó
- Estado: investigación interna iniciada por el banco
- Tipo de entidad afectada: banco estatal, mayor institución financiera de India por activos
- Regulador sectorial competente: Reserve Bank of India (RBI) y CERT-In, organismo de respuesta a incidentes cibernéticos
Qué se sabe y qué falta confirmar
Hasta la fecha de publicación de este artículo, no se confirmó oficialmente el vector de ataque —si fue una brecha en sistemas internos, un proveedor tercero o un error de configuración—, ni si el RBI recibió notificación formal del incidente. Tampoco se determinó si los datos provienen de un único evento o de múltiples extracciones. En India, la Personal Data Protection Act (DPDPA) de 2023 establece obligaciones de notificación a la autoridad de protección de datos ante brechas significativas, aunque los plazos reglamentarios específicos aún están siendo reglamentados. Lo que permanece sin confirmar es si el incidente supera los umbrales que activarían esa obligación bajo la normativa vigente.
Para los equipos de gobernanza de datos de bancos en América Latina, el caso tiene resonancias directas. En Brasil, el Banco Central exige notificación al BACEN ante incidentes relevantes bajo la Resolução CMN nº 4.893/2021, con plazos de hasta 72 horas para eventos críticos. En Argentina, los bancos supervisados por el BCRA deben reportar incidentes de seguridad conforme a la Comunicación A 7724, que también fija ventanas de notificación estrictas. En México, la CNBV establece requerimientos similares para entidades reguladas. El caso SBI ilustra que incluso instituciones de escala sistémica pueden tener registros de clientes activos en mercados ilegales sin detección inmediata, lo que pone en cuestión la efectividad de los controles de monitoreo de exfiltración en tiempo real.
El próximo hito crítico es la comunicación oficial del SBI al regulador indio, que definirá si el banco cumplió con los plazos de notificación exigidos bajo la DPDPA 2023 y si proceden sanciones formales.
