El mayor banco de India confirma un ciberataque que expuso datos de 3.897 clientes

El Banco Estatal de la India (SBI), la mayor entidad financiera del país, confirmó este miércoles que sufrió un ciberataque que dejó expuesta en la dark web información personal de 3.897 clientes, según informó Infobae. La confirmación llegó mediante una presentación ante la Bolsa de Bombay, obligatoria cuando un incidente puede afectar a los inversores.

El caso salió a la luz el 16 de octubre. Ese día, un grupo que se identifica como Siriusim publicó en el foro BreachForums que tenía unos 375.000 registros en planillas y 2.722 documentos en PDF, entre ellos solicitudes de préstamos y formularios de apertura de cuentas. Según el banco, ese mismo día recibió alertas de su proveedor de inteligencia de amenazas, de la Agencia de Ciberdefensa y del equipo nacional de respuesta CERT-In.

El análisis preliminar del SBI revisó los 375.000 registros y encontró que 3.897 contenían datos personales identificables. Entre ellos figuran nombres, teléfonos, fechas de nacimiento, géneros, correos, domicilios y códigos internos vinculados a préstamos. El banco asegura que no se hallaron contraseñas, claves ni códigos de un solo uso, que no hubo pérdidas de dinero para los clientes y que sus operaciones centrales no se vieron afectadas.

La Internet Freedom Foundation, organización india de derechos digitales, cuestionó que el comunicado no aclare si los afectados fueron avisados directamente. Pidió que se les notifique por mensaje, correo y carta en varios idiomas, que se habilite un canal de consulta y que el banco precise si los PDF incluyen documentos de identidad, como el Aadhaar o el pasaporte. También planteó investigar si la filtración salió por un proveedor externo y pidió al regulador fijar un plazo obligatorio de aviso a los clientes.

El SBI indicó que activó sus protocolos de contención y contrató a una firma de ciberseguridad independiente, habilitada por CERT-In, para determinar el origen y el alcance real de la exposición. Según Infobae, no es un hecho aislado: en julio el Bank of Baroda reconoció una filtración de cerca de un terabyte de datos, y en julio de 2025 el SBI reportó una vulnerabilidad en su app Yono, que según el banco correspondía a una versión antigua ya corregida.

Por ahora la información proviene de la presentación del banco, de modo que el origen de la filtración y el número final de afectados dependen de la investigación independiente en curso. El caso alimenta una discusión que también interesa a los usuarios de banca digital en Colombia y el Caribe: la rapidez y la claridad con que las entidades deben avisar cuando los datos de sus clientes quedan expuestos.