El State Bank of India (SBI), el mayor banco público del país asiático, confirmó que 3.897 registros de clientes fueron expuestos en la dark web, según se informó el 21 de octubre de 2025. Es el primer banco estatal indio en reconocer públicamente una brecha de esta naturaleza en lo que va del año.
La confirmación provino del propio banco, que admitió el incidente sin detallar, según se informó, el vector de ataque ni el período de tiempo durante el cual los datos permanecieron expuestos antes de ser detectados. Los registros comprometidos corresponden a información de clientes, aunque la entidad no precisó públicamente qué tipos de datos personales integran el conjunto filtrado —si incluye datos de identidad, información financiera o credenciales de acceso.
Datos confirmados al cierre de esta edición
- Registros expuestos confirmados: 3.897
- Entidad afectada: State Bank of India (banco de titularidad estatal)
- Destino de los datos: dark web, según confirmación oficial
- Fecha de divulgación pública: 21 de octubre de 2025
- Tipo de dato expuesto: registros de clientes (composición exacta no divulgada)
Qué se sabe y qué falta confirmar
Lo confirmado es la cifra de registros y la presencia del dataset en la dark web. Lo que permanece sin verificación pública es el origen del incidente: si fue un ataque externo, una exposición por mala configuración de sistemas, o un acceso interno no autorizado. Tampoco se informó si el SBI notificó individualmente a los clientes afectados ni si intervino el regulador financiero indio (RBI) o alguna autoridad de protección de datos. India cuenta desde 2023 con la Digital Personal Data Protection Act (DPDPA), que establece obligaciones de notificación ante brechas, aunque su reglamentación aún está en proceso de consolidación.
Para bancos en América Latina que operan con sucursales o corresponsalía con entidades asiáticas, el caso ilustra un riesgo de cadena: los datos de clientes compartidos con terceros internacionales pueden quedar expuestos en jurisdicciones con marcos de notificación aún inmaduros. En Brasil, la Lei Geral de Proteção de Dados (LGPD) obliga a notificar a la ANPD en plazos que la autoridad ha interpretado como no superiores a dos días hábiles para incidentes de alto riesgo. En Argentina, la Ley 25.326 y las disposiciones complementarias de la AAIP también exigen comunicación a los titulares afectados. Un banco que opera bajo esas jurisdicciones y comparte datos con corresponsales extranjeros debe auditar contractualmente los estándares de respuesta a incidentes de sus contrapartes.
El próximo hito a seguir es si el SBI activa el mecanismo de notificación individual a los 3.897 titulares afectados y si el regulador indio abre una investigación formal, ambos plazos aún sin anuncio oficial al cierre de esta nota.
