Ciberataque a SBI: lo que reveló el banco y lo que no está verificado

Puntos clave

• State Bank of India (SBI), el mayor banco del país, informó a las bolsas de valores que un incidente cibernético provocó que 3.897 registros de clientes con información personal aparecieran en la dark web, según las noticias sobre su comunicado del 21 de octubre de 2026.
• El banco afirmó que esos 3.897 registros se identificaron en una revisión preliminar de unos 375.000 registros hallados en internet. Desde el 16 de octubre, un actor de amenazas reivindicaba en un foro de ciberdelincuencia ese conjunto mayor, junto con 2.722 documentos PDF.
• SBI indicó que no se espera que el incidente tenga un impacto material en sus operaciones principales, su desempeño financiero ni la continuidad del negocio, y que contrató a una agencia de ciberseguridad independiente para evaluar la filtración.
• Los informes revisados por Bullquill no indican que se hayan expuesto contraseñas, credenciales de banca en línea ni PIN de UPI. La autenticidad, el origen y el alcance total del conjunto de datos reivindicado siguen sin verificarse.
• Las normas de la India exigen notificar los incidentes con rapidez al CERT-In (en un plazo de 6 horas) y al Banco de la Reserva de la India. Las obligaciones de notificación de brechas del marco de Protección de Datos Personales Digitales (DPDP) entrarán en vigor previsiblemente en mayo de 2027.

Lo que SBI ha divulgado oficialmente

En un comunicado a las bolsas de valores de la India, recogido por Reuters y varios medios indios el 21 de octubre, SBI informó que había identificado un incidente cibernético en el que información de identificación personal de 3.897 registros de clientes apareció en la dark web. El banco describió este dato como el resultado de un análisis preliminar de unos 3,75 lakh (375.000) registros que circulaban en internet.

Según esos informes, SBI recibió alertas el 16 de octubre sobre una posible exposición de datos de clientes. The Sunday Guardian, al describir el comunicado, mencionó tres fuentes de esas alertas: el proveedor de inteligencia de amenazas del banco, la Defence Cyber Agency (Agencia de Ciberdefensa) y el Equipo Indio de Respuesta a Emergencias Informáticas (CERT-In). La versión de India.com sobre el comunicado citó al proveedor de inteligencia de amenazas y al CERT-In.

Los campos de datos señalados en la revisión preliminar de SBI, según informó Reuters a través de Deccan Chronicle, incluyen nombres de clientes, números de teléfono móvil, fechas de nacimiento, direcciones de correo electrónico, domicilios, identificadores de sucursal y de cliente, y registros relacionados con préstamos. Bullquill no ha visto ni reproduce ninguno de esos datos.

El banco señaló que activó sus procedimientos de respuesta y contención de incidentes cibernéticos y que contrató a una agencia de ciberseguridad independiente para realizar una evaluación exhaustiva. También subrayó que la filtración "no se espera que tenga ningún impacto material" en sus operaciones principales, según el informe de Reuters. India.com citó el comunicado, que afirma que las funciones principales del negocio "siguen operando con normalidad, sin interrupciones".

SBI también ha sido cauteloso sobre lo que no ha confirmado. Afirmó que se necesita una investigación detallada para determinar si los datos expuestos son auténticos y completos, y para identificar su origen. El banco no ha nombrado a ningún atacante y, en los informes revisados, no ha explicado cómo se obtuvieron los registros.

La reivindicación más amplia que circula desde el 16 de octubre

La divulgación llegó tras varios días de afirmaciones en internet. El 16 de octubre, una cuenta de ciberseguridad en X destacó una publicación en BreachForums, un foro de ciberdelincuencia, de un actor de amenazas que usa el nombre "Siriusim", según el Free Press Journal. El actor afirmó tener unos 375.000 registros de clientes en formato de hoja de cálculo y 2.722 documentos PDF supuestamente vinculados a SBI y, posiblemente, a sus filiales. Según la descripción, el material incluía solicitudes de préstamo, documentos financieros de respaldo y registros de "conozca a su cliente" (KYC).

El Free Press Journal informó que el actor publicó abiertamente una pequeña cantidad de registros de muestra y que los números de teléfono de esas muestras parecían válidos. El medio subrayó que esto no demuestra que todo el conjunto de datos sea auténtico, reciente o procedente de los propios sistemas de SBI en lugar de una filial o un proveedor externo.

La diferencia entre ambas cifras es importante. El comunicado de SBI confirma información personal en 3.897 registros; la reivindicación del foro se refiere a un conjunto de datos unas 100 veces mayor. La redacción del banco sugiere que el conjunto mayor fue el volumen que revisó, no un recuento confirmado de clientes afectados. Hasta que concluya la evaluación independiente, ni la cifra total de 375.000 ni el supuesto archivo de PDF deben tratarse como hechos establecidos.

Fuentes: Reuters vía Deccan Chronicle; India.com; Free Press Journal; Sunday Guardian.

Qué exigen las normas de la India

CERT-In: seis horas

En virtud de las directivas emitidas el 28 de abril de 2022 conforme a la sección 70B(6) de la Ley de Tecnologías de la Información de 2000, los proveedores de servicios, intermediarios, centros de datos, personas jurídicas y organismos gubernamentales deben notificar determinados incidentes cibernéticos al CERT-In en un plazo de seis horas desde que los detectan o se les informa de ellos. La lista de incidentes notificables incluye las brechas y filtraciones de datos. Las directivas entraron en vigor el 27 de junio de 2022. En este caso, se informó de que el propio CERT-In figuraba entre los organismos que alertaron a SBI, y el banco no ha publicado cuándo presentó su propia notificación a la agencia.

Banco de la Reserva de la India

Los bancos también informan a su regulador. La circular de 2016 del RBI sobre un marco de ciberseguridad para bancos pide a las entidades que notifiquen al banco central los incidentes de ciberseguridad inusuales, tanto consumados como intentados, en un plazo de dos a seis horas, con actualizaciones posteriores a medida que haya nueva información. En los informes revisados, el RBI no había comentado públicamente el incidente de SBI.

Divulgación bursátil

Como empresa cotizada, SBI está sujeta a las normas de divulgación de la Junta de Valores y Bolsa de la India (SEBI), que exigen comunicar sin demora a las bolsas los hechos relevantes. Su comunicado de octubre es el canal oficial por el que el incidente se hizo público.

La Ley y el Reglamento DPDP

La Ley de Protección de Datos Personales Digitales de 2023 de la India obliga a las organizaciones a notificar tanto a la Junta de Protección de Datos como a las personas afectadas cualquier brecha de datos personales. El procedimiento detallado figura en la Regla 7 del Reglamento DPDP de 2025, publicado en noviembre de 2025. Esa regla exige notificar a la Junta y a cada persona afectada "sin demora", seguido de un informe detallado a la Junta en un plazo de 72 horas. Según la aplicación escalonada descrita por despachos de abogados como AZB & Partners, la Regla 7 entra en vigor 18 meses después de su publicación, hacia mayo de 2027. Esto significa que la obligación legal completa de notificar brechas en el marco DPDP aún no está vigente para este incidente, aunque las demás normas mencionadas ya se aplican.

Qué pueden hacer los clientes

Como los campos reportados incluyen nombres, números de teléfono y detalles de préstamos, el riesgo más probable para las personas afectadas es el fraude dirigido, como llamadas o mensajes que citan datos personales reales para parecer legítimos. Entre las precauciones habituales, coherentes con la orientación publicada por bancos y autoridades de la India, figuran:

• No compartir nunca códigos OTP, PIN de UPI, datos de tarjetas ni contraseñas de banca en línea, ni siquiera con alguien que diga ser de SBI o de un regulador.
• Desconfiar de llamadas inesperadas sobre actualizaciones de KYC, aprobaciones de préstamos o bloqueos de cuentas, y devolver la llamada a los números que figuran en el sitio web oficial del banco.
• Evitar hacer clic en enlaces o instalar aplicaciones enviadas por mensaje, y rechazar las solicitudes de compartir pantalla.
• Activar las alertas de transacciones por SMS y correo electrónico, y revisar los extractos con regularidad.
• Usar una contraseña de banca en línea robusta y única, y mantener actualizados el teléfono y las aplicaciones.
• Denunciar de inmediato cualquier sospecha de fraude al banco y a la línea nacional de ciberdelitos 1930 o al Portal Nacional de Denuncia de Ciberdelitos (cybercrime.gov.in).

Contexto: un segundo banco estatal en tres meses

La divulgación de SBI llega después de que Bank of Baroda, otro banco estatal, informara en julio de 2026 que datos de clientes y documentos internos habían aparecido en un sitio de la dark web. Reuters informó entonces que el banco vinculó el incidente a una cuenta de correo electrónico de un empleado comprometida y que afirmó que no se había accedido a sus sistemas bancarios centrales. Ambos casos siguen un mismo patrón: los datos aparecen primero en un foro delictivo y el banco confirma un alcance más limitado mientras continúan las investigaciones.

Qué significa

Por ahora, los hechos confirmados son limitados: SBI reconoce que se expuso información personal de 3.897 registros de clientes, afirma que sus sistemas principales funcionan con normalidad y ha encargado una evaluación independiente. La cifra mucho mayor vinculada a la reivindicación del foro no está verificada, y el origen de los datos, ya sean los propios sistemas de SBI, una filial o un proveedor, no se ha determinado.

Las principales preguntas pendientes son si la revisión independiente modificará el recuento, cómo salieron los datos del control del banco y si SBI contactará directamente a los clientes afectados. El caso también pone de relieve un vacío en el régimen de privacidad de la India: hasta que la norma de notificación de brechas del DPDP entre en vigor en 2027, la notificación individual depende sobre todo de las normas sectoriales y de las decisiones del propio banco. Los clientes que reciban llamadas o mensajes inusuales que mencionen datos personales deberían suponer que pueden ser intentos de fraude y verificarlos a través de canales oficiales.

Fuentes

• Deccan Chronicle (Reuters): SBI reports cyberattack, 3,897 customer records exposed on dark web
• Business Standard: SBI reports cyberattack exposing 3,897 customer records on dark web
• India.com: SBI confirms data breach, core banking not affected
• Free Press Journal: SBI, subsidiaries' customer data allegedly on dark web
• Sunday Guardian: SBI confirms cyberattack as hacker group claims 3.75 lakh records
• CERT-In: sitio web oficial y directivas de 2022 según la sección 70B(6)
• Linklaters: India's cyber security framework and breach reporting obligations
• Moneylife: RBI's cyber security framework for banks
• AZB & Partners: DPDP Act phased rollout and compliance milestones
• The Star (Reuters): Customer data from Bank of Baroda leaked online
• National Cyber Crime Reporting Portal