El banco más grande de India confirma datos de 3.897 clientes en la dark web

State Bank of India (SBI), el banco más grande de India, confirmó que datos personales de 3.897 clientes aparecieron en la dark web, la parte de internet que no indexan los buscadores y donde se comercian datos robados. Lo informó el miércoles 21 de octubre en un aviso a las bolsas de Bombay, firmado a las 8:38 hora de India. La bolsa lo publicó a las 3:21 UTC, que eran las 0:21 en Buenos Aires, San Pablo y Santiago, las 23:21 del martes en Caracas, las 22:21 en Bogotá y Lima, y las 21:21 en Ciudad de México.

El atacante habla de unos 375.000 registros, y el banco reconoce solo una parte con datos de clientes identificables. La diferencia entre las dos cifras es el centro de la historia.

De dónde salen los dos números

El 16 de octubre, un actor que se presenta como Siriusim publicó en BreachForums, un foro de ciberdelincuentes, que tenía unas 375.000 filas de datos de clientes de SBI y de posibles filiales, más 2.722 documentos en PDF. Según el Free Press Journal, que revisó las cuatro muestras que el atacante dejó a la vista, los teléfonos eran reales y la foto de perfil de WhatsApp de uno de ellos coincidía con la de su documento de identidad en el legajo del banco. El diario aclaró que eso no prueba que el conjunto completo sea auténtico. Ese día SBI no respondió.

Cinco días después, el aviso del banco usó la misma escala. Dijo que, en un análisis preliminar de "aproximadamente 375.000 registros disponibles en la dark web", encontró 3.897 registros de clientes con información personal identificable. Las dos cifras no se contradicen del todo. Los 375.000 son filas de una base de datos, no personas, y solo una de cada cien tenía datos que identifican a un cliente, según el banco. Algunos medios indios lo leyeron mal, y ETV Bharat tituló que se filtraron 375.000 registros de clientes.

La contradicción que sí queda abierta son los 2.722 PDF que el atacante dice tener y que, según el diario, incluirían solicitudes de préstamo y formularios de apertura de cuenta. El aviso de SBI no los menciona. Tampoco aclara si los 3.897 registros corresponden a 3.897 personas distintas.

Qué datos quedaron expuestos

Según el aviso, los registros incluyen nombre, teléfono registrado, fecha de nacimiento, género, correo electrónico y domicilio, junto con identificadores de sucursal y de cliente, y datos de solicitudes de préstamo. No figuran contraseñas, claves ni números de cuenta.

El banco no dice cómo salieron los datos. Reuters lo describió como un ciberataque, pero el aviso habla de un "incidente que involucra la pérdida de ciertos datos" y deja abierto si vienen de sus sistemas, de una filial o de un proveedor. Según el Deccan Herald, SBI se enteró por tres alertas del mismo 16 de octubre, de su proveedor de inteligencia de amenazas, de la Agencia de Ciberdefensa del Ministerio de Defensa y de CERT-InEquipo indio de respuesta a emergencias informáticas (Indian Computer Emergency Response Team). Depende del Ministerio de Electrónica y Tecnologías de la Información y emite alertas sobre incidentes y vulnerabilidades., el equipo nacional de respuesta a incidentes. El banco contrató una empresa de ciberseguridad independiente para investigar y aseguró que no hay impacto material en su negocio.

Para los clientes, el mensaje vino por otra vía. En X, SBI escribió que los saldos "están completamente a salvo" y que el incidente afectó a "un número muy, muy pequeño de clientes", según The Tribune.

Los clientes no recibieron aviso

La crítica llegó rápido. La Internet Freedom Foundation, una organización india de derechos digitales, señaló en un comunicado que el banco informó a los inversores pero no publicó ningún aviso para los afectados. "La filtración fue pública antes de que SBI dijera algo", escribió. Pidió que el banco notifique a cada cliente, abra una línea de consulta y explique si un proveedor estuvo involucrado.

Pawan Khera, jefe de comunicación del Partido del Congreso, el principal de la oposición, dijo que SBI "ni siquiera detectó la filtración por su cuenta" y que "le debe respuestas a sus clientes", según el Deccan Chronicle.

La ley india de protección de datos personales obliga a avisar a los afectados, pero ese artículo recién entra en vigor en mayo de 2027, como detalló The Wire. Hasta entonces, el banco solo debe reportar al regulador. El riesgo para quien figura en la base es concreto. Con nombre, teléfono y datos de su préstamo, un estafador puede llamar haciéndose pasar por el banco y sonar creíble.