El State Bank of India (SBI) confirmó, según se informó, la exposición de 3.897 registros de clientes en un incidente de seguridad de datos. El banco, uno de los más grandes del mundo por activos y número de cuentahabientes, no precisó públicamente la fecha exacta del evento ni el vector de ataque utilizado.
El incidente fue reportado el 21 de octubre de 2025 por el medio especializado InvestyWise. Según la información disponible, los registros comprometidos corresponden a clientes del banco estatal indio, aunque al momento de publicación no se habían detallado los tipos de datos afectados —si incluyen información de identidad, datos financieros o credenciales de acceso— ni la forma en que se produjo la exfiltración. SBI no emitió una declaración pública detallada según las fuentes consultadas.
Datos confirmados sobre los 3.897 registros
- Entidad afectada: State Bank of India (SBI), banco estatal con presencia en más de 30 países.
- Registros expuestos: 3.897, según se informó.
- Fecha de reporte público: 21 de octubre de 2025.
- Tipo de datos comprometidos: no confirmado públicamente a la fecha.
- Vector de ataque: no divulgado.
- Notificación a regulador: no confirmada en fuentes disponibles.
Qué se sabe y qué falta confirmar
Lo confirmado es que existió una exposición de registros y que el número reportado —3.897— es relativamente acotado para una institución del tamaño de SBI, que gestiona más de 500 millones de cuentas activas. Lo que permanece sin verificar es si se trató de una exfiltración activa por un actor externo, un error de configuración en sistemas propios o una exposición por terceros en la cadena de proveedores. Tampoco se confirmó si los clientes afectados recibieron notificación individual, ni si el Banco de la Reserva de India (RBI) fue informado en los plazos que exige la normativa local. El silencio institucional en las primeras horas de un incidente de este tipo suele ser indicador de que la investigación forense aún está en curso o de que el banco evalúa el alcance real antes de comunicar.
Para los equipos de protección de datos en América Latina, el caso es relevante por analogía regulatoria. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige que la Autoridade Nacional de Proteção de Dados (ANPD) sea notificada de incidentes que puedan causar riesgo relevante a los titulares en un plazo razonable —interpretado operativamente como 72 horas en la mayoría de los planes de respuesta adoptados por las grandes instituciones financieras. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) exige notificación bajo la Ley 25.326 y su Disposición 11/2006, con criterios que también aplican a sucursales o corresponsales de bancos extranjeros que traten datos de ciudadanos argentinos. En México, el INAI y la CNBV tienen competencias concurrentes en incidentes que afecten a clientes de entidades financieras bajo la LFPDPPP.
El próximo hito a seguir es la posible comunicación formal de SBI a su regulador bancario y de datos, cuya ventana —según estándares internacionales— vence en las próximas horas si aún no se ha producido.
