El State Bank of India (SBI), el mayor banco público del país con presencia en más de 50 naciones, confirmó una brecha de datos que dejó expuestos 3.897 registros de clientes en la dark web, según se informó el 21 de octubre de 2025. El banco reconoció el incidente públicamente, lo que activa obligaciones de notificación bajo el marco regulatorio indio.
De acuerdo con lo informado por Free Press Journal, los registros comprometidos fueron detectados circulando en foros de la dark web. SBI, institución catalogada como “too big to fail” en el sistema financiero indio y con operaciones en América Latina, confirmó la existencia del incidente sin detallar, hasta el momento de la publicación, el vector de ataque ni el período exacto durante el cual los datos habrían permanecido expuestos. La naturaleza de los datos comprometidos —si incluyen información financiera, credenciales o datos de identificación— tampoco fue precisada en la comunicación oficial según se informó.
Datos confirmados del incidente
- Registros expuestos confirmados: 3.897 cuentas de clientes
- Canal de exposición: dark web (foros no especificados)
- Entidad afectada: State Bank of India, mayor banco del sector público indio
- Confirmación pública: emitida por el propio banco, según Free Press Journal
- Tipo de datos comprometidos: no especificado en la comunicación oficial hasta la fecha
Qué se sabe y qué falta confirmar
Lo confirmado es la exposición de los registros y su presencia en la dark web. Lo que permanece sin verificar incluye el origen de la filtración —si fue un ataque externo, un proveedor tercero o un error de configuración interna—, la antigüedad de los datos y si se activaron protocolos de notificación individual a los clientes afectados. India no cuenta con una ley general de protección de datos personales plenamente vigente al estilo del GDPR europeo o la LGPD brasileña, aunque el Digital Personal Data Protection Act de 2023 establece obligaciones de notificación ante brechas que aún están siendo reglamentadas. El cumplimiento efectivo del banco frente a esas obligaciones todavía no fue reportado.
Para equipos de gobernanza de datos en la región, el caso ilustra una brecha recurrente: la detección de datos expuestos proviene de monitoreo externo de la dark web, no de controles internos. Bancos en Brasil bajo la regulação do Banco Central (Resolução CMN 4.893/2021) y en Argentina bajo la Comunicación A 7724 del BCRA tienen obligaciones explícitas de notificación ante incidentes de seguridad de la información. En México, la CNBV exige reportes ante la CONDUSEF en casos que afecten datos financieros de usuarios. La pregunta relevante no es si 3.897 registros es un número “pequeño” —es si el banco sabía antes de que lo supieran los foros.
El próximo hito a seguir es si SBI activa notificaciones individuales a los 3.897 clientes afectados, lo que definirá si el banco opera bajo el Digital Personal Data Protection Act de 2023 con criterio reactivo o preventivo.
