El State Bank of India (SBI) confirmó, según se informó, la exposición de 3.897 registros de clientes en un incidente de seguridad vinculado a E-Mudra, plataforma de firma digital utilizada por el banco para trámites electrónicos. El caso encendió alertas sobre la cadena de custodia de datos personales cuando intervienen proveedores tecnológicos terceros.
El incidente fue revelado el 22 de octubre de 2025. De acuerdo con la información disponible, la brecha no habría ocurrido en los sistemas centrales del SBI sino en la infraestructura de E-Mudra, un proveedor de servicios de firma y autenticación digital que opera en el ecosistema bancario indio. Los registros expuestos corresponderían a datos de clientes que utilizaron servicios intermediados por esa plataforma, aunque el tipo exacto de información comprometida —nombres, documentos de identidad, datos financieros— no fue detallado en los reportes disponibles al cierre de esta nota.
Datos confirmados del incidente SBI–E-Mudra
- 3.897 registros de clientes expuestos, según se informó.
- Institución afectada: State Bank of India (SBI), banco público más grande de India.
- Origen del incidente: sistema de E-Mudra, proveedor externo de firma digital.
- Fecha de reporte público: 22 de octubre de 2025.
- Tipo de datos comprometidos: no confirmado en detalle al momento de publicación.
Qué se sabe y qué falta confirmar
Lo que está documentado es que el vector de exposición habría sido el proveedor externo, no el núcleo bancario del SBI. Lo que permanece sin confirmar es si hubo exfiltración activa de datos o si la exposición se produjo por una configuración incorrecta que dejó registros accesibles sin autorización. Tampoco se confirmó si el Banco de Reserva de India (RBI) fue notificado formalmente, ni en qué plazo, conforme a las obligaciones de reporte de incidentes vigentes en el sistema financiero indio. La naturaleza exacta del campo de datos expuestos —si incluye información de identificación oficial, datos biométricos o registros de transacciones— es un dato crítico que aún no fue divulgado públicamente.
El caso ilustra un vector de riesgo frecuentemente subestimado en la gobernanza de datos del sector financiero: la cadena de proveedores tecnológicos. Cuando un banco terceriza procesos que involucran datos personales de clientes —como la firma digital o la autenticación— el ownership del dato no desaparece; el banco sigue siendo responsable del tratamiento ante el titular. En América Latina, esta lógica está incorporada en marcos como la Ley 25.326 de Argentina, que no exime al responsable del tratamiento por las fallas del encargado, y en la Lei Geral de Proteção de Dados (LGPD) de Brasil, cuyo artículo 46 establece que tanto el controlador como el operador deben adoptar medidas de seguridad adecuadas. La LFPDPPP de México opera bajo el mismo principio. Que un incidente ocurra en un proveedor no neutraliza la exposición regulatoria del banco que contrató el servicio.
El próximo hito a monitorear es la notificación formal del SBI al regulador financiero indio y la determinación del alcance exacto de los datos comprometidos, información que definirá si el incidente activa obligaciones adicionales de comunicación a los titulares afectados.
