El State Bank of India (SBI) confirmó una brecha de seguridad que dejó expuestos más de 3.000 registros de clientes en la dark web, según se informó el 21 de octubre de 2026. La entidad bancaria más grande de India reconoció el incidente sin precisar, hasta el momento, el vector de ataque ni el período durante el cual los datos habrían estado accesibles.
El banco estatal confirmó la exposición luego de que investigadores de ciberseguridad detectaran los registros circulando en foros de la dark web. Según se informó, los datos comprometidos corresponden a clientes individuales, aunque la institución no especificó qué categorías de información personal —nombre, número de cuenta, datos de identificación, historial de transacciones— están incluidas en el lote expuesto. La confirmación oficial llegó a través de un comunicado, sin que se haya informado hasta ahora si se activaron protocolos de notificación individual a los afectados.
Datos confirmados al cierre de esta edición
- Más de 3.000 registros de clientes identificados en la dark web
- El SBI reconoció el incidente de forma oficial
- No se confirmó el vector de acceso ni la ventana temporal de exposición
- No se informó si se notificó individualmente a los clientes afectados
- No se precisó qué campos de datos personales fueron comprometidos
Qué se sabe y qué falta confirmar sobre el alcance real
Lo confirmado es el hecho de la exposición y su detección en la dark web. Lo que permanece sin verificar es si los 3.000 registros representan el universo total de datos afectados o una muestra de un volumen mayor —una práctica habitual entre actores maliciosos para validar la autenticidad del lote antes de comercializarlo. Tampoco está claro si el origen de la filtración es un ataque externo, un proveedor tercero, o una mala configuración interna de sistemas. El Reserve Bank of India (RBI), autoridad regulatoria del sector financiero, no había emitido pronunciamiento público al momento de esta publicación.
Para el ecosistema financiero de América Latina, el caso reitera una vulnerabilidad estructural que reguladores de la región vienen señalando: la cadena de custodia de datos en instituciones bancarias de gran escala. En Brasil, la Resolução CMN 4.893/2021 exige que las entidades financieras mantengan políticas formales de seguridad de la información y notifiquen incidentes relevantes al Banco Central. En Argentina, la Comunicación A 8073 del BCRA establece requisitos equivalentes de reporte para bancos regulados. En México, la CNBV y el INAI comparten jurisdicción sobre brechas en entidades del sector financiero bajo la LFPDPPP. Ninguno de esos marcos admite la ambigüedad que el SBI mantuvo en su comunicado inicial respecto a qué datos fueron afectados y si los clientes fueron notificados.
El próximo hito crítico es la notificación formal a los titulares afectados: si el SBI no acredita ese paso en los próximos días, la presión regulatoria sobre la institución —y el escrutinio sobre sus controles de acceso— escalará de forma inevitable.
