DataTrends LATAM

Etiqueta: Data Breach

Incidentes con compromiso de datos: brechas, hackeos con exfiltración, filtraciones.

  • Burger King Japón confirma brecha de datos: 11,18 millones de registros expuestos

    Burger King Japón confirma brecha de datos: 11,18 millones de registros expuestos

    Burger King Japón confirmó una brecha de datos que expuso información de 11,18 millones de clientes, en uno de los incidentes de mayor escala registrados en la industria de comida rápida en Asia. La compañía reconoció el compromiso de registros de su base de clientes, según se informó el 19 de octubre de 2025.

    El incidente fue divulgado públicamente por la filial japonesa de la cadena de hamburguesas, que opera de forma independiente bajo licencia. Según se informó, los datos afectados corresponden a registros de clientes almacenados en sus sistemas, aunque la naturaleza exacta de los campos comprometidos —nombres, correos electrónicos, historial de pedidos, datos de pago— no fue detallada en su totalidad en la confirmación inicial. La magnitud del evento, 11,18 millones de registros, lo posiciona como un incidente de notificación obligatoria bajo la Ley de Protección de Información Personal (APPI) de Japón, que desde su reforma de 2022 exige reporte a la Comisión de Protección de Información Personal (PPC) y a los afectados cuando se superan los 1.000 registros comprometidos.

    Datos confirmados del incidente

    • Registros expuestos: 11,18 millones
    • Entidad afectada: Burger King Japón (operadora local bajo licencia)
    • Fecha de divulgación pública: 19 de octubre de 2025
    • Marco regulatorio aplicable: APPI (Japón) — umbral de notificación: más de 1.000 registros
    • Estado de la investigación: en curso, según se informó

    Qué se sabe y qué falta confirmar

    Lo confirmado es la cifra total de registros afectados y el origen del incidente en los sistemas de la compañía. Lo que aún no ha sido verificado públicamente incluye el vector de ataque —intrusión externa, acceso indebido interno, o configuración incorrecta de infraestructura—, la tipología exacta de datos comprometidos, y si los registros ya circulan en foros de compraventa de datos. Tampoco se ha confirmado si existe superposición con datos de programas de fidelización o métodos de pago activos. La ausencia de estos detalles es relevante: según el tipo de dato expuesto, las obligaciones de mitigación y comunicación a titulares varían sustancialmente bajo la APPI.

    Para equipos de gobernanza de datos en la región, el caso ilustra un patrón que también es frecuente en cadenas franquiciadas en América Latina: la tensión entre el control de datos de la casa matriz y la operación local que actúa como controlador efectivo. En Argentina, la Ley 25.326 obliga a quien “trata” los datos —en este caso la franquiciada local— a notificar a la Agencia de Acceso a la Información Pública (AAIP) ante brechas de seguridad. En Brasil, la LGPD establece un plazo de notificación a la ANPD de “plazo razonable”, interpretado en la práctica como 72 horas para incidentes de alto riesgo. En México, la LFPDPPP no fija un plazo explícito, pero el INAI ha emitido criterios que apuntan a la notificación inmediata cuando hay riesgo para los titulares.

    El próximo hito a monitorear es la resolución formal de la PPC japonesa sobre el cumplimiento del deber de notificación, cuyo plazo reglamentario bajo la APPI reformada vence en los días inmediatos a la confirmación del incidente.

  • SBI: 3.897 registros de clientes expuestos en una brecha de datos

    SBI: 3.897 registros de clientes expuestos en una brecha de datos

    El State Bank of India (SBI) confirmó, según se informó, la exposición de 3.897 registros de clientes en un incidente de seguridad de datos. El banco, uno de los más grandes del mundo por activos y número de cuentahabientes, no precisó públicamente la fecha exacta del evento ni el vector de ataque utilizado.

    El incidente fue reportado el 21 de octubre de 2025 por el medio especializado InvestyWise. Según la información disponible, los registros comprometidos corresponden a clientes del banco estatal indio, aunque al momento de publicación no se habían detallado los tipos de datos afectados —si incluyen información de identidad, datos financieros o credenciales de acceso— ni la forma en que se produjo la exfiltración. SBI no emitió una declaración pública detallada según las fuentes consultadas.

    Datos confirmados sobre los 3.897 registros

    • Entidad afectada: State Bank of India (SBI), banco estatal con presencia en más de 30 países.
    • Registros expuestos: 3.897, según se informó.
    • Fecha de reporte público: 21 de octubre de 2025.
    • Tipo de datos comprometidos: no confirmado públicamente a la fecha.
    • Vector de ataque: no divulgado.
    • Notificación a regulador: no confirmada en fuentes disponibles.

    Qué se sabe y qué falta confirmar

    Lo confirmado es que existió una exposición de registros y que el número reportado —3.897— es relativamente acotado para una institución del tamaño de SBI, que gestiona más de 500 millones de cuentas activas. Lo que permanece sin verificar es si se trató de una exfiltración activa por un actor externo, un error de configuración en sistemas propios o una exposición por terceros en la cadena de proveedores. Tampoco se confirmó si los clientes afectados recibieron notificación individual, ni si el Banco de la Reserva de India (RBI) fue informado en los plazos que exige la normativa local. El silencio institucional en las primeras horas de un incidente de este tipo suele ser indicador de que la investigación forense aún está en curso o de que el banco evalúa el alcance real antes de comunicar.

    Para los equipos de protección de datos en América Latina, el caso es relevante por analogía regulatoria. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige que la Autoridade Nacional de Proteção de Dados (ANPD) sea notificada de incidentes que puedan causar riesgo relevante a los titulares en un plazo razonable —interpretado operativamente como 72 horas en la mayoría de los planes de respuesta adoptados por las grandes instituciones financieras. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) exige notificación bajo la Ley 25.326 y su Disposición 11/2006, con criterios que también aplican a sucursales o corresponsales de bancos extranjeros que traten datos de ciudadanos argentinos. En México, el INAI y la CNBV tienen competencias concurrentes en incidentes que afecten a clientes de entidades financieras bajo la LFPDPPP.

    El próximo hito a seguir es la posible comunicación formal de SBI a su regulador bancario y de datos, cuya ventana —según estándares internacionales— vence en las próximas horas si aún no se ha producido.

  • SBI: 3.897 registros de clientes expuestos en brecha de datos confirmada

    SBI: 3.897 registros de clientes expuestos en brecha de datos confirmada

    El State Bank of India (SBI) confirmó la exposición de 3.897 registros de clientes que contenían información personal, según informó Business Viewpoint Magazine el 23 de octubre de 2025. El incidente representa uno de los compromisos de datos más recientes que involucra a una institución financiera de escala sistémica.

    Según se informó, los registros expuestos contienen datos personales de clientes del banco estatal indio, aunque al cierre de esta nota no se había detallado públicamente qué tipos de campos específicos —nombre, número de cuenta, documento de identidad, datos de contacto— estaban incluidos en el conjunto afectado. Tampoco se confirmó el vector de ataque ni si la exposición se produjo por acceso no autorizado externo, error de configuración interno o un tercero proveedor.

    Datos confirmados sobre el incidente

    • Registros expuestos: 3.897 (dato confirmado por la fuente)
    • Tipo de datos: información personal de clientes del SBI
    • Institución afectada: State Bank of India, banco público con presencia en más de 50 países
    • Fecha de reporte público: 23 de octubre de 2025
    • Vector de exposición: no confirmado al momento de publicación

    Qué se sabe y qué falta confirmar

    Lo confirmado es la cifra de registros y la naturaleza personal de los datos involucrados. Lo que permanece sin verificar incluye si el SBI notificó a los titulares afectados, si se activaron protocolos de respuesta ante incidentes conforme a la normativa india —la Digital Personal Data Protection Act de 2023 establece obligaciones de notificación al regulador y a los titulares, aunque su reglamentación aún está en proceso—, y si existe algún actor externo identificado como responsable. Tampoco hay confirmación sobre si los datos llegaron a circular en foros de filtración o mercados clandestinos.

    Para las instituciones financieras de América Latina con operaciones o corresponsalía con bancos de escala global, el caso refuerza la necesidad de revisar los controles sobre datos de clientes compartidos con terceros. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige notificación a la ANPD “em prazo razoável” ante incidentes de seguridad que puedan acarrear riesgo relevante a los titulares. En Argentina, la Ley 25.326 y las disposiciones de la AAIP contemplan obligaciones similares, aunque con umbrales distintos. En México, el INAI ha sancionado a entidades financieras por no notificar brechas en tiempo y forma bajo la LFPDPPP. Un incidente con menos de 4.000 registros puede parecer menor, pero si los datos incluyen información sensible —credenciales, datos financieros, documentos de identidad—, activa los mismos umbrales de notificación que una brecha masiva en prácticamente todos los marcos regulatorios de la región.

    El próximo hito crítico es la publicación del informe de notificación del SBI al regulador indio, que determinará si la respuesta institucional cumple con los plazos previstos por la DPDPA 2023 y si otros bancos con vínculos corresponsales deben activar sus propios protocolos de gestión del incidente.

  • SBI confirma brecha: 3.897 registros de clientes expuestos en la dark web

    SBI confirma brecha: 3.897 registros de clientes expuestos en la dark web

    El State Bank of India (SBI), el mayor banco público del país con presencia en más de 50 naciones, confirmó una brecha de datos que dejó expuestos 3.897 registros de clientes en la dark web, según se informó el 21 de octubre de 2025. El banco reconoció el incidente públicamente, lo que activa obligaciones de notificación bajo el marco regulatorio indio.

    De acuerdo con lo informado por Free Press Journal, los registros comprometidos fueron detectados circulando en foros de la dark web. SBI, institución catalogada como “too big to fail” en el sistema financiero indio y con operaciones en América Latina, confirmó la existencia del incidente sin detallar, hasta el momento de la publicación, el vector de ataque ni el período exacto durante el cual los datos habrían permanecido expuestos. La naturaleza de los datos comprometidos —si incluyen información financiera, credenciales o datos de identificación— tampoco fue precisada en la comunicación oficial según se informó.

    Datos confirmados del incidente

    • Registros expuestos confirmados: 3.897 cuentas de clientes
    • Canal de exposición: dark web (foros no especificados)
    • Entidad afectada: State Bank of India, mayor banco del sector público indio
    • Confirmación pública: emitida por el propio banco, según Free Press Journal
    • Tipo de datos comprometidos: no especificado en la comunicación oficial hasta la fecha

    Qué se sabe y qué falta confirmar

    Lo confirmado es la exposición de los registros y su presencia en la dark web. Lo que permanece sin verificar incluye el origen de la filtración —si fue un ataque externo, un proveedor tercero o un error de configuración interna—, la antigüedad de los datos y si se activaron protocolos de notificación individual a los clientes afectados. India no cuenta con una ley general de protección de datos personales plenamente vigente al estilo del GDPR europeo o la LGPD brasileña, aunque el Digital Personal Data Protection Act de 2023 establece obligaciones de notificación ante brechas que aún están siendo reglamentadas. El cumplimiento efectivo del banco frente a esas obligaciones todavía no fue reportado.

    Para equipos de gobernanza de datos en la región, el caso ilustra una brecha recurrente: la detección de datos expuestos proviene de monitoreo externo de la dark web, no de controles internos. Bancos en Brasil bajo la regulação do Banco Central (Resolução CMN 4.893/2021) y en Argentina bajo la Comunicación A 7724 del BCRA tienen obligaciones explícitas de notificación ante incidentes de seguridad de la información. En México, la CNBV exige reportes ante la CONDUSEF en casos que afecten datos financieros de usuarios. La pregunta relevante no es si 3.897 registros es un número “pequeño” —es si el banco sabía antes de que lo supieran los foros.

    El próximo hito a seguir es si SBI activa notificaciones individuales a los 3.897 clientes afectados, lo que definirá si el banco opera bajo el Digital Personal Data Protection Act de 2023 con criterio reactivo o preventivo.

  • Brecha en SBI: grupo hacker alega acceso a 375.000 registros y 2.722 documentos

    Brecha en SBI: grupo hacker alega acceso a 375.000 registros y 2.722 documentos

    Un grupo hacker afirma haber accedido a 375.000 registros y 2.722 documentos del State Bank of India (SBI), el mayor banco público del país asiático. La entidad no confirmó ni desmintió la brecha al cierre de esta nota, según se informó el 21 de octubre de 2026.

    El reclamo fue difundido por el grupo atacante sin que mediara una divulgación oficial del SBI. La información circula en foros especializados y fue recogida por medios de tecnología en India. Hasta el momento de publicación, el banco no emitió un comunicado reconociendo el incidente ni precisó qué sistemas o bases de datos habrían sido comprometidos, según se informó.

    Datos confirmados al 21 de octubre de 2026

    • Registros alegados como comprometidos: 375.000 (3,75 lakh en notación india)
    • Documentos alegados como exfiltrados: 2.722
    • Actor: grupo hacker no identificado oficialmente
    • Confirmación oficial del SBI: ninguna al cierre de esta nota
    • Naturaleza de los datos expuestos: no especificada en la información disponible

    Qué se sabe y qué falta confirmar

    Lo confirmado se limita a la existencia del reclamo por parte del grupo atacante y a las cifras que él mismo publicó. No hay verificación independiente del volumen ni del tipo de datos involucrados. Permanece sin confirmar si los registros corresponden a clientes individuales, empleados o contrapartes corporativas, y si incluyen datos sensibles como información financiera, documentos de identidad o credenciales de acceso. También es incierta la vía de intrusión —vulnerabilidad en infraestructura propia, proveedor tercero o credenciales comprometidas— y si el SBI tiene conocimiento del incidente y activó protocolos de notificación ante el Reserve Bank of India (RBI) o el Computer Emergency Response Team de India (CERT-In), que exige notificación de incidentes en un plazo de seis horas bajo las directrices vigentes.

    Para las organizaciones financieras de América Latina, el caso reitera una tensión conocida: los reguladores de la región —desde el Banco Central de Brasil (BACEN) bajo la Resolución CMN 4.893 hasta la Comisión Nacional Bancaria y de Valores de México y el BCRA en Argentina con la Comunicación A 7724— exigen tiempos de notificación acotados ante incidentes que afecten datos de clientes. Cuando la institución no confirma ni desmiente de manera oportuna, el vacío informativo amplifica el daño reputacional y puede derivar en sanciones por incumplimiento del deber de notificación, independientemente de si la brecha es luego validada o descartada.

    El próximo hito crítico es la respuesta oficial del SBI: si el banco guarda silencio más allá del plazo de seis horas que impone CERT-In, el incumplimiento procedimental podría convertirse en un problema regulatorio separado del incidente mismo.

  • Brecha en Capcom expone 11,7 millones de registros

    Brecha en Capcom expone 11,7 millones de registros

    Capcom, la desarrolladora japonesa de videojuegos detrás de franquicias como Resident Evil y Street Fighter, sufrió una brecha de datos que expuso 11,7 millones de registros de usuarios a nivel global, según se informó el 23 de octubre de 2026. El incidente afectaría a jugadores registrados en plataformas de la compañía y plantea interrogantes sobre el manejo de datos personales en la industria del entretenimiento digital.

    La información fue reportada por eSecurity Planet y señala que los registros comprometidos incluirían datos de clientes de distintas regiones, aunque el desglose geográfico exacto no fue confirmado de forma oficial al momento de la publicación. Capcom no emitió una declaración pública detallada sobre el alcance del incidente según las fuentes disponibles. Se desconoce si la compañía ya notificó a las autoridades de protección de datos en las jurisdicciones donde opera.

    Datos confirmados sobre los 11,7 millones de registros

    • Registros expuestos: 11,7 millones, según se informó
    • Empresa afectada: Capcom Co., Ltd., con sede en Osaka, Japón
    • Fecha de reporte: 23 de octubre de 2026
    • Tipos de datos comprometidos: no detallados oficialmente al cierre de esta nota
    • Estado de las notificaciones regulatorias: sin confirmar

    Qué se sabe y qué falta confirmar

    Lo confirmado es el volumen del incidente: 11,7 millones de registros representan una exposición de escala considerable para la industria del gaming. Lo que permanece sin verificación es el tipo exacto de datos involucrados —si incluyen credenciales, datos de pago o información de identificación personal—, el vector de ataque utilizado y si la exfiltración ya se materializó en mercados clandestinos. Tampoco está claro si Capcom activó sus protocolos de respuesta a incidentes conforme a las obligaciones del APPI (Ley de Protección de Información Personal) de Japón, que exige notificación a la Comisión de Protección de Información Personal en casos de brechas que superen los 1.000 registros.

    Para usuarios en América Latina, la situación activa derechos concretos. En Brasil, la LGPD (Lei Geral de Proteção de Dados, Lei 13.709/2018) obliga a los titulares de datos a ser notificados en caso de incidentes que puedan acarrearles riesgo o daño, y la ANPD puede iniciar investigaciones de oficio. En Argentina, la Ley 25.326 y las disposiciones de la AAIP establecen un régimen similar. En México, el INAI ha actuado sobre empresas extranjeras con presencia en el país bajo la LFPDPPP. Si Capcom opera bases de datos con registros de usuarios latinoamericanos —lo cual es altamente probable dado el tamaño del mercado regional de videojuegos—, las obligaciones de notificación aplican independientemente de dónde resida el responsable del tratamiento.

    El próximo hito crítico es la apertura de un plazo formal de notificación a autoridades: bajo LGPD, ese plazo es de 2 días hábiles desde que el controlador toma conocimiento del incidente; si Capcom no acredita haber cumplido esa ventana ante la ANPD, podría enfrentar una investigación formal en Brasil antes de fin de mes.

  • Pryx: el hacker de 19 años que atacó al FBI y su pasado de cibercrimen

    Pryx: el hacker de 19 años que atacó al FBI y su pasado de cibercrimen

    Un joven de 19 años conocido en foros de cibercrimen como Pryx intentó reencuadrarse públicamente como emprendedor de ciberseguridad, pero según se informó, esa narrativa colapsó cuando el FBI fue atacado en un incidente vinculado a su actividad. El caso, que tomó estado público el 9 de octubre de 2026 a través de Reuters, pone en primer plano las tensiones entre el relato de la “reconversión” y el historial verificable de actores de amenazas.

    Adem El Adeb se presentó ante Reuters como un exhacker retirado que había fundado una empresa de ciberseguridad. En la nota, se describía como una “amenaza retirada”, un encuadre que la publicación especializada DataBreaches.net cuestionó de forma explícita al señalar que ese relato no cambia lo que El Adeb hizo antes de que el FBI fuera objeto de un ataque. Los detalles técnicos del incidente contra el FBI no estaban confirmados en su totalidad al momento de la publicación original, aunque la investigación de Simone Kraus para DataBreaches.net apunta a un pasado de actividad ilícita que la narrativa mediática inicial omitió o minimizó.

    Datos confirmados al 20 de octubre de 2026

    • Nombre del actor: Adem El Adeb, alias Pryx, 19 años.
    • El perfil fue presentado por Reuters el 9 de octubre de 2026 como el de un exhacker reconvertido al sector legítimo.
    • El FBI figura entre los objetivos de ataques vinculados, según se informó, a su actividad.
    • DataBreaches.net publicó una investigación contradictoria el 20 de octubre de 2026, con autoría de Simone Kraus.
    • No se confirmó públicamente el número exacto de víctimas ni los registros comprometidos al cierre de esta nota.

    Qué se sabe y qué falta confirmar sobre el incidente

    Lo confirmado es que El Adeb operó bajo el alias Pryx en entornos de cibercrimen y que al menos una acción atribuida a ese alias tuvo como objetivo una entidad federal estadounidense de alto perfil. Lo que permanece sin verificación independiente es el alcance exacto de la brecha, el volumen y tipo de datos eventualmente comprometidos, y si la empresa de ciberseguridad que El Adeb dice haber fundado operó como fachada o como actividad legítima paralela. La referencia en el título de DataBreaches.net a “Four Dead in Cairo” —cuatro muertos en El Cairo— no tiene explicación factual confirmada en el fragmento disponible de la nota original; podría tratarse de un elemento de contexto biográfico o de un caso conexo aún no aclarado públicamente. Este punto requiere seguimiento.

    Para los equipos de protección de datos y las autoridades de control en América Latina, el caso ilustra un patrón conocido: actores con historial de intrusiones que intentan reposicionarse en el mercado de la ciberseguridad antes de que sus antecedentes sean debidamente verificados. En jurisdicciones como Brasil, donde la ANPD tiene competencia para investigar incidentes con impacto en titulares brasileños, o en Argentina, donde la AAIP puede requerir información sobre brechas transfronterizas bajo la Ley 25.326, la identidad y el historial de quienes acceden a datos sensibles —incluso como prestadores de servicios de seguridad— es un vector de riesgo que los marcos de gobernanza no siempre contemplan con suficiente rigor.

    El próximo hito a seguir es si el Departamento de Justicia de Estados Unidos formaliza cargos contra El Adeb, lo que determinaría el alcance jurídico del incidente y habilitaría eventuales solicitudes de cooperación internacional.

  • Brecha en Capcom expuso más de 11 millones de registros de clientes

    Brecha en Capcom expuso más de 11 millones de registros de clientes

    Más de 11 millones de registros de clientes quedaron expuestos tras una brecha de datos en Capcom, la desarrolladora japonesa de videojuegos conocida por franquicias como Street Fighter y Resident Evil, según informó Cyber Daily el 23 de octubre de 2025. El incidente reposiciona a la compañía como uno de los casos de mayor volumen de datos comprometidos en la industria del entretenimiento digital.

    La brecha afectó registros de clientes de Capcom, aunque según se informó, los detalles sobre el tipo exacto de datos expuestos —nombres, correos electrónicos, datos de pago u otra información personal— no fueron completamente detallados en la divulgación pública inicial. El incidente fue reportado por Cyber Daily y surgió en el contexto del ecosistema de plataformas digitales de videojuegos, donde los usuarios registran cuentas con información personal para acceder a servicios en línea, compras digitales y comunidades.

    11 millones de registros: cifras confirmadas y qué falta saber

    • Registros expuestos reportados: más de 11 millones
    • Empresa afectada: Capcom Co., Ltd., con sede en Osaka, Japón
    • Fecha de reporte público: 23 de octubre de 2025
    • Fuente de la divulgación: Cyber Daily

    Qué se sabe y qué falta confirmar

    Lo confirmado es el volumen: más de 11 millones de registros de clientes comprometidos. Lo que aún no está verificado públicamente incluye el vector de ataque utilizado, si hubo exfiltración activa por parte de un actor malicioso o exposición por mala configuración, y si Capcom notificó formalmente a las autoridades de protección de datos en las jurisdicciones donde opera. Tampoco se confirmó si los afectados fueron notificados individualmente, un requisito legal en múltiples marcos normativos.

    Este punto es crítico para los usuarios latinoamericanos. Brasil exige notificación a la Autoridade Nacional de Proteção de Dados (ANPD) y a los titulares afectados “en prazo razoável” bajo el artículo 48 de la LGPD cuando la brecha puede acarrear riesgo o daño relevante. En México, la LFPDPPP obliga a los responsables del tratamiento a informar a los titulares sobre vulnerabilidades que afecten significativamente sus derechos patrimoniales o morales. Argentina, bajo la Ley 25.326 y la Disposición AAIP 4/2019, también contempla el deber de notificación ante incidentes de seguridad. Si Capcom tiene usuarios registrados en estos países —lo cual es altamente probable dado el alcance global de sus plataformas—, las obligaciones de notificación en la región están sobre la mesa.

    El próximo hito a seguir es si Capcom presenta notificaciones formales ante las autoridades de protección de datos en las jurisdicciones donde opera, incluyendo Brasil, México y Argentina, o si los reguladores actúan de oficio ante la magnitud del incidente.

  • SBI y E-Mudra: 3.897 registros expuestos en incidente de seguridad en India

    SBI y E-Mudra: 3.897 registros expuestos en incidente de seguridad en India

    El State Bank of India (SBI) confirmó, según se informó, la exposición de 3.897 registros de clientes en un incidente de seguridad vinculado a E-Mudra, plataforma de firma digital utilizada por el banco para trámites electrónicos. El caso encendió alertas sobre la cadena de custodia de datos personales cuando intervienen proveedores tecnológicos terceros.

    El incidente fue revelado el 22 de octubre de 2025. De acuerdo con la información disponible, la brecha no habría ocurrido en los sistemas centrales del SBI sino en la infraestructura de E-Mudra, un proveedor de servicios de firma y autenticación digital que opera en el ecosistema bancario indio. Los registros expuestos corresponderían a datos de clientes que utilizaron servicios intermediados por esa plataforma, aunque el tipo exacto de información comprometida —nombres, documentos de identidad, datos financieros— no fue detallado en los reportes disponibles al cierre de esta nota.

    Datos confirmados del incidente SBI–E-Mudra

    • 3.897 registros de clientes expuestos, según se informó.
    • Institución afectada: State Bank of India (SBI), banco público más grande de India.
    • Origen del incidente: sistema de E-Mudra, proveedor externo de firma digital.
    • Fecha de reporte público: 22 de octubre de 2025.
    • Tipo de datos comprometidos: no confirmado en detalle al momento de publicación.

    Qué se sabe y qué falta confirmar

    Lo que está documentado es que el vector de exposición habría sido el proveedor externo, no el núcleo bancario del SBI. Lo que permanece sin confirmar es si hubo exfiltración activa de datos o si la exposición se produjo por una configuración incorrecta que dejó registros accesibles sin autorización. Tampoco se confirmó si el Banco de Reserva de India (RBI) fue notificado formalmente, ni en qué plazo, conforme a las obligaciones de reporte de incidentes vigentes en el sistema financiero indio. La naturaleza exacta del campo de datos expuestos —si incluye información de identificación oficial, datos biométricos o registros de transacciones— es un dato crítico que aún no fue divulgado públicamente.

    El caso ilustra un vector de riesgo frecuentemente subestimado en la gobernanza de datos del sector financiero: la cadena de proveedores tecnológicos. Cuando un banco terceriza procesos que involucran datos personales de clientes —como la firma digital o la autenticación— el ownership del dato no desaparece; el banco sigue siendo responsable del tratamiento ante el titular. En América Latina, esta lógica está incorporada en marcos como la Ley 25.326 de Argentina, que no exime al responsable del tratamiento por las fallas del encargado, y en la Lei Geral de Proteção de Dados (LGPD) de Brasil, cuyo artículo 46 establece que tanto el controlador como el operador deben adoptar medidas de seguridad adecuadas. La LFPDPPP de México opera bajo el mismo principio. Que un incidente ocurra en un proveedor no neutraliza la exposición regulatoria del banco que contrató el servicio.

    El próximo hito a monitorear es la notificación formal del SBI al regulador financiero indio y la determinación del alcance exacto de los datos comprometidos, información que definirá si el incidente activa obligaciones adicionales de comunicación a los titulares afectados.

  • México: filtran datos de periodista que pidió información a Sinaloa; Artículo 19 exige protección

    México: filtran datos de periodista que pidió información a Sinaloa; Artículo 19 exige protección

    Un periodista que presentó una solicitud de acceso a la información al gobierno del estado de Sinaloa vio sus datos personales filtrados, según denunció la organización Artículo 19, que exige medidas urgentes de protección. El caso instala un precedente alarmante: el ejercicio de un derecho consagrado en la Ley General de Transparencia derivó en la exposición de quien lo ejerció.

    La denuncia fue difundida por Artículo 19, organización defensora de la libertad de prensa con presencia regional, que identificó la filtración como una represalia indirecta contra el periodista. Según se informó, los datos personales del comunicador habrían sido divulgados luego de que este presentara una solicitud de información ante dependencias del gobierno de Sinaloa. El mecanismo exacto de la filtración no fue confirmado públicamente al cierre de esta nota.

    Datos confirmados sobre el incidente en Sinaloa

    • Actor afectado: un periodista identificado por Artículo 19, cuyo nombre no fue revelado públicamente por razones de seguridad.
    • Origen del incidente: solicitud de acceso a la información presentada ante el gobierno del estado de Sinaloa.
    • Organización denunciante: Artículo 19, sección México y Centroamérica.
    • Demanda: protección inmediata para el periodista y apertura de investigación sobre la filtración.
    • Marco legal vulnerado según la denuncia: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y las disposiciones de la Ley General de Transparencia y Acceso a la Información Pública.

    Qué se sabe y qué falta confirmar

    Está confirmado que Artículo 19 formalizó la denuncia y exigió protección. Lo que permanece sin verificar es si el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) —o su par estatal en Sinaloa— abrió algún expediente de investigación. Tampoco se confirmó si los datos filtrados incluyen domicilio, teléfono u otra información que eleve el riesgo de seguridad física del periodista. Artículo 19 no precisó, según la información disponible, si la filtración fue intencional o producto de una falla en los protocolos de manejo de solicitudes.

    El caso tiene una dimensión que excede lo técnico: en México, la Ley General de Transparencia obliga a los sujetos obligados a proteger la identidad de los solicitantes en contextos de riesgo. Si el gobierno de Sinaloa no activó esa salvaguarda, la omisión podría configurar una violación de la normativa vigente. El INAI tiene competencia para investigar filtraciones de datos personales en manos de entes públicos federales, aunque la competencia sobre dependencias estatales recae en el organismo garante de Sinaloa, la Comisión Estatal de Acceso a la Información Pública y Protección de Datos Personales (CAIP Sinaloa).

    El próximo hito es que la CAIP Sinaloa o el INAI determinen si admiten la denuncia e inician un procedimiento de investigación formal, un paso que, de no concretarse en los próximos días, dejará al periodista sin respuesta institucional.