El State Bank of India (SBI) confirmó una brecha de datos en la que más de 3.800 registros de clientes fueron sustraídos y publicados en la dark web. El banco, el mayor de India por activos, reconoció el incidente tras la circulación de la información en foros clandestinos.
Según se informó, el ataque fue detectado luego de que actores maliciosos pusieran a disposición los registros comprometidos en plataformas de la dark web. El SBI emitió una confirmación oficial del incidente, aunque al momento de la publicación no había divulgado el vector de ataque ni el período exacto durante el cual los sistemas estuvieron expuestos. Los datos afectados corresponden a clientes de la entidad, si bien el banco no precisó qué categorías de información personal fueron comprometidas más allá de la cantidad de registros.
Datos confirmados del incidente en SBI
- Más de 3.800 registros de clientes sustraídos, según confirmación oficial del banco.
- Los registros fueron publicados y compartidos en la dark web, según se informó.
- El SBI es el banco más grande de India por volumen de activos y cantidad de clientes.
- El banco confirmó el incidente públicamente; el vector de ataque no fue divulgado.
- No se confirmó si se activaron mecanismos de notificación individual a los afectados.
Qué se sabe y qué falta confirmar
Lo confirmado hasta ahora es la exfiltración de más de 3.800 registros y su circulación en la dark web. Lo que permanece sin verificar incluye el tipo exacto de datos personales comprometidos (si se trata de credenciales, datos financieros, información de identidad o una combinación), el período de exposición, y si el SBI notificó a las autoridades competentes o activó su protocolo de respuesta ante incidentes conforme a las obligaciones vigentes en India. Tampoco se ha confirmado si el ataque involucró ransomware u otro vector específico. La escala del incidente —3.800 registros sobre una base de cientos de millones de clientes— podría indicar un ataque acotado o que la cifra divulgada es parcial.
Para los equipos de gobernanza y privacidad en América Latina, el caso es relevante por una razón estructural: los bancos de la región enfrentan obligaciones de notificación con plazos estrictos ante brechas de esta naturaleza. En Argentina, la Ley 25.326 y las disposiciones de la AAIP exigen notificación a la autoridad ante incidentes que comprometan datos personales. En Brasil, la LGPD establece un plazo de comunicación al titular y a la ANPD dentro de un término razonable —interpretado en la práctica como 72 horas para incidentes de alto riesgo—. En México, el INAI aplica criterios similares bajo la LFPDPPP para el sector privado. La pregunta que este caso instala es si los bancos de la región tienen habilitado ese canal de notificación antes de que la información aparezca en foros clandestinos, o si la dark web sigue siendo la primera fuente de alerta.
El próximo hito crítico es la divulgación por parte del SBI del alcance completo del incidente y la confirmación de si se activaron —o no— los mecanismos de notificación regulatoria en los plazos exigidos por la normativa india.
