Argentina
Australia
China
Corea
Filipinas
India
Indonesia
Japón
Malasia
Nueva Zelanda
Pakistán
Singapur
Sri Lanka
Tailandia
Vietnam
El Banco Estatal de la India (SBI), la entidad financiera más grande del país, confirmó este miércoles que sufrió un ciberataque que expuso en la red oscura (dark web) información personal de casi 4.000 clientes, cinco días después de que un grupo de hackers asegurara haber robado cientos de miles de registros.
El banco lo informó en una presentación ante la Bolsa de Bombay, exigida por la ley de valores de la nación asiática cuando ocurre un incidente con impacto potencial en los inversores. Según el documento, el 16 de octubre recibió alertas de su proveedor de inteligencia de amenazas, de la Agencia de Ciberdefensa del país y del equipo nacional de respuesta a incidentes CERT-In sobre una posible filtración de datos.
El análisis preliminar de SBI revisó unos 375.000 registros disponibles en la red oscura y confirmó que 3.897 de ellos contenían información personal identificable de clientes. Entre los datos expuestos figuran números de teléfono, fechas de nacimiento, nombres, géneros, direcciones de correo electrónico, domicilios y códigos internos vinculados a préstamos.
El banco precisó que no se identificaron contraseñas, claves de seguridad ni códigos de un solo uso entre la información filtrada, y que no se reportaron pérdidas de dinero de los clientes. También aseguró que el incidente no tuvo impacto material en sus operaciones centrales ni en su continuidad de negocio.
La filtración salió a la luz el 16 de octubre, cuando un grupo que se identifica como Siriusim publicó en el foro de la red oscura BreachForums que poseía unos 375.000 registros en formato de planilla y 2.722 documentos en PDF, entre ellos solicitudes de préstamos y formularios de apertura de cuentas.
SBI dijo que activó sus protocolos de respuesta y contención ante incidentes cibernéticos y que contrató a una firma de ciberseguridad independiente, habilitada por CERT-In para determinar el origen y el alcance real de la exposición.
Una firma duda sobre la respuesta del banco
La Internet Freedom Foundation, una organización india de derechos digitales, cuestionó que la presentación del banco no aclare si los clientes afectados fueron notificados de manera directa. Entre la alerta inicial y la confirmación pública pasaron cinco días.
La organización pidió a SBI que avise a cada cliente afectado por mensaje de texto, correo electrónico y carta, en inglés, hindi y el idioma local, con una explicación de qué datos quedaron expuestos y qué pasos seguir. También reclamó un canal de consulta específico para las víctimas.
Además, exigió que el banco precise si los 2.722 documentos filtrados incluyen comprobantes de identidad como el número de Aadhaar o el pasaporte, y que explique cómo se produjo la filtración, incluida la posibilidad de que haya salido a través de un proveedor externo.
La fundación también pidió al Banco de Reserva de India, el regulador financiero del país, que fije un plazo obligatorio para que las entidades avisen a sus clientes ante una brecha de datos mientras no entre en vigencia la nueva ley de protección de datos personales del país.
Antecedentes de brechas en la banca india
No es el primer caso del sector bancario indio este año. En julio, el estatal Bank of Baroda reconoció una filtración que expuso información vinculada a cuentas de clientes y documentos internos, tras detectarse en la red oscura un paquete de datos de aproximadamente un terabyte.
En julio de 2025, el SBI ya había reportado una vulnerabilidad de su seguridad en Yono, su aplicación de banca móvil usada por decenas de millones de personas en India y por parte de su numerosa comunidad en el exterior, reportó Cyber Security News, destacado portal ligado a la ciberseguridad. La entidad bancaria aclaró que el fallo correspondía a una versión antigua y que la actualización ya no presentaba dicha fragilidad.
El banco dijo que continúa evaluando el incidente y que irá aplicando medidas preventivas y correctivas a medida que avance la investigación independiente sobre la autenticidad y el alcance real de los datos filtrados.
