El State Bank of India (SBI), la entidad financiera líder del país, comunicó a la Bolsa de Bombay que fue víctima de un ciberataque que dejó información personal de clientes expuesta en la dark web. La declaración se presentó conforme a la normativa de valores de la India cuando hay un hecho con posible impacto en los inversores.

Según el documento, el 16 de octubre el SBI recibió avisos de su proveedor de inteligencia de amenazas, de la Agencia de Ciberdefensa de la India y del equipo CERT-In sobre una posible filtración de datos. Un análisis preliminar de unos 375.000 registros disponibles en la dark web permitió identificar 3.897 dossiers con información personal identificable de clientes, que abarca números de teléfono, fechas de nacimiento, nombres, género, direcciones de correo, domicilios y códigos internos vinculados a préstamos.

La entidad aclaró que no se hallaron contraseñas, claves de seguridad ni códigos de un solo uso dentro de lo filtrado, y que no se registraron pérdidas monetarias por parte de clientes. Tampoco se observó un impacto material en las operaciones centrales ni en la continuidad del negocio.

La revelación pública del incidente ocurrió el 16 de octubre, cuando un actor que se identifica como Siriusim difundió en BreachForums, foro de la dark web, que poseía alrededor de 375.000 registros en formato de hojas de cálculo y 2.722 documentos en PDF, entre ellos solicitudes de préstamos y formularios de apertura de cuentas.

El SBI activó de inmediato sus protocolos de respuesta ante ciberincidentes y contrató a una firma de ciberseguridad independiente, habilitada por CERT-In, para determinar el origen y el alcance real de la exposición.

La Internet Freedom Foundation, organización defensora de derechos digitales en India, cuestionó que la presentación no aclara si los clientes afectados fueron notificados directamente. Reclamó que SBI informe a cada afectado por mensaje de texto, correo y carta —en inglés, hindi y el idioma local—, con una explicación de qué datos quedaron expuestos y qué pasos seguir, y pidió un canal específico para consultas.

Además, instó a precisar si los 2.722 documentos filtrados incluyen identificadores como Aadhaar o pasaportes, y a explicar cómo se produjo la filtración, incluyendo la posibilidad de haber salido a través de un proveedor externo. La fundación también solicitó al Banco de la Reserva de la India (RBI) que fije un plazo obligatorio para notificar a los clientes ante una brecha de datos mientras no esté vigente la nueva normativa.