El Banco Estatal de la India (SBI) informó ante la Bolsa de Bombay que fue víctima de un ciberataque con exposición de datos personales en la red oscura. Según el documento presentado, la publicación ocurrió cinco días después de que un colectivo de hackers asegurara haber accedido a cientos de miles de registros.

La entidad detalló que, el 16 de octubre, recibió avisos de su proveedor de inteligencia de amenazas, de la Agencia de Ciberdefensa del país y del equipo nacional de respuesta a incidentes CERT-In sobre una posible filtración de información. Un análisis preliminar permitió revisar alrededor de 375.000 registros disponibles en la red oscura, de los cuales 3.897 contenían datos identificables de clientes.

Entre los datos expuestos figuran números de teléfono, fechas de nacimiento, nombres, género, direcciones de correo electrónico, domicilios y códigos internos vinculados a préstamos. El SBI aclaró que no aparecieron contraseñas, claves de seguridad ni códigos de un solo uso dentro de la información filtrada, y que no se registraron pérdidas monetarias para los clientes. También sostuvo que el incidente no impactó de forma significativa sus operaciones centrales ni la continuidad del negocio.

La filtración se hizo pública el 16 de octubre, cuando un grupo identificándose como Siriusim publicó en el foro BreachForums que poseía unos 375.000 registros en formato de planilla y 2.722 documentos en PDF, entre ellos solicitudes de préstamos y formularios para abrir cuentas.

Ante el evento, el SBI activó sus protocolos de respuesta ante incidentes y contrató a una firma de ciberseguridad independiente, habilitada por CERT-In, para determinar el origen y el alcance real de la exposición.

La Internet Freedom Foundation, organización india dedicada a derechos digitales, cuestionó si la presentación del banco aclara si los clientes afectados fueron notificados de manera directa. Exigió que SBI informe a cada afectado por mensaje de texto, correo electrónico y carta, en inglés, hindi y la lengua local, con una explicación de qué datos quedaron expuestos y cuál es la guía de acción a seguir. También reclamó un canal de consulta específico para las víctimas y que se precise si los 2.722 documentos incluyen identificadores como Aadhaar o pasaporte, así como la forma en que se produjo la filtración, contemplando la posibilidad de que haya sido a través de un proveedor externo.

La fundación pidió, además, que el Banco de la Reserva de la India fije un plazo obligatorio para notificar a los clientes ante futuras brechas de datos mientras no entre en vigor la nueva normativa.