El State Bank of India (SBI), el mayor banco público del país asiático, confirmó según se informó la exposición de 3.897 registros de clientes en la dark web. La entidad lanzó una investigación interna tras la divulgación del incidente.
El caso salió a la luz a través de publicaciones especializadas en India, que dieron cuenta de que los registros comprometidos habrían sido detectados circulando en foros de la dark web. El SBI, que administra cientos de millones de cuentas en todo el territorio indio, no precisó según se informó qué tipo de datos integran los registros expuestos ni confirmó el vector de ataque utilizado. La apertura formal de una investigación fue lo único comunicado de manera oficial hasta el momento de esta publicación.
Datos confirmados al cierre de esta edición
- Registros expuestos: 3.897 (cifra confirmada según se informó)
- Canal de exposición: dark web (foros no especificados)
- Entidad afectada: State Bank of India, banco público de la India
- Estado: investigación interna en curso
- Fecha de divulgación pública: 21 de octubre de 2026
Qué se sabe y qué falta confirmar
Lo confirmado se limita al número de registros y a la apertura de la investigación. No se ha verificado públicamente qué categorías de datos personales fueron comprometidas —si incluyen nombres, números de cuenta, documentos de identidad o credenciales de acceso—, ni si la brecha se originó en sistemas propios del SBI o en un proveedor tercero. Tampoco hay información sobre si los titulares afectados recibieron notificación individual. La cifra de 3.897 registros es relativamente acotada para una entidad de la escala del SBI, lo que abre la hipótesis de que se trate de una extracción parcial o de un subconjunto de una brecha mayor aún no revelada, aunque esto no ha sido confirmado.
Para las entidades financieras de América Latina, el caso aporta un punto de referencia concreto. En Brasil, la Lei Geral de Proteção de Dados (LGPD) obliga a las instituciones reguladas por el Banco Central a notificar incidentes “de riesgo relevante” a la Autoridade Nacional de Proteção de Dados (ANPD) en un plazo de hasta 72 horas desde la toma de conocimiento, criterio que el Banco Central complementa con sus propias resoluciones de ciberseguridad. En Argentina, la Ley 25.326 y la normativa del BCRA —en particular la Comunicación A 7724— imponen obligaciones equivalentes de notificación a la Agencia de Acceso a la Información Pública (AAIP). En México, la LFPDPPP y los lineamientos del INAI exigen comunicación al titular afectado. En los tres casos, la demora o ausencia de notificación agrava la exposición regulatoria de la entidad.
El próximo hito crítico es la conclusión de la investigación interna del SBI y la eventual comunicación a los reguladores indios y a los titulares afectados, plazos que no han sido informados públicamente.
