AU Small Finance Bank y Salesforce ya no cuentan la misma historia. Salesforce declaró este sábado 31 de octubre que no identificó ninguna vulnerabilidad en su plataforma relacionada con la presunta filtración de datos del banco indio. El grupo que reclama el acceso, ScarlettGroup, dice tener documentos de identidad y expedientes de préstamos. El banco investiga. Nadie ha mostrado una prueba pública que cierre el caso.
La respuesta de Salesforce llegó un día después del aviso del propio AU Small Finance Bank. El banco informó el viernes que investiga una posible filtración en una plataforma de software como servicio, administrada y alojada por Salesforce, con datos limitados de sus clientes de préstamos para vehículos. Su comunicado añade dos datos concretos: los sistemas propios de la entidad no presentan daño y todos los servicios bancarios operan con normalidad.
Esa versión choca con la lista que circula desde el jueves. Si el paquete robado fuera el que describen los atacantes, hablar de datos limitados se quedaría corto. Y si el acceso ocurrió sin tocar un fallo de la plataforma, la pregunta se mueve a otro sitio: permisos, configuraciones o credenciales de alguna cuenta con acceso a esa plataforma.
El reclamo de ScarlettGroup, pieza por pieza
La plataforma de inteligencia de amenazas Hackmanac contó el jueves en X que ScarlettGroup reclama haber roto las defensas de AU Small Finance Bank y amenaza con publicar datos sensibles de clientes y material interno de la empresa. La lista atribuida al grupo es larga y muy específica.
El paquete incluiría registros KYC, el expediente de verificación de identidad que la banca india exige para abrir cuentas y otorgar crédito, documentos de identidad, números PAN, el identificador fiscal permanente de la India, y datos Aadhaar, el número nacional de identidad de doce dígitos. La lista suma informes de crédito, estados de cuenta, solicitudes de préstamo, contratos firmados y pólizas de seguro.
También aparecen datos de gestión de clientes, información de empleados, historiales de inicio de sesión y registros de auditoría. Hackmanac dejó una advertencia dentro de su propia publicación: la verificación del reclamo sigue pendiente. BTin, otro medio que sigue el caso, añade que el grupo fijó un plazo de seis días para negociar, con una cuenta atrás y muestras de documentos con el contenido tapado.
El banco no ha puesto cifra. Ninguna de las dos partes con nombre en el caso, ni AU Small Finance Bank ni Salesforce, ha dicho cuántos clientes aparecen en el paquete, y esa ausencia pesa: el banco reportó 12,2 millones de clientes al cierre de su año fiscal 2026 en su informe anual, cifra publicada por Britain Herald, pero el segmento señalado es mucho más chico, el de préstamos para vehículos.
Qué haría peligroso ese paquete de datos
Un expediente de préstamo reúne justo lo que un estafador necesita para sonar convincente: nombre completo, documento de identidad, número fiscal, teléfono ligado a la cuenta y el detalle del crédito vigente. Con ese material, una llamada falsa deja de ser genérica. El estafador cita el vehículo financiado, el monto y la fecha del contrato, y pide un código o un pago «urgente» para regularizar la cuenta.
Ese patrón quedó visto días atrás en otro caso de esta misma semana larga de brechas: la brecha de Keystone expuso registros de compradores y el riesgo señalado fue el mismo, datos personales listos para engaños dirigidos, no un robo directo de cuentas. En la India, un dato Aadhaar ligado a un número de teléfono abre además la puerta a intentos de suplantación en trámites que piden ese identificador.
Tres versiones y una pieza que no encaja
Salesforce fijó su posición con una frase medida: con la información disponible hasta este momento, no identificó una vulnerabilidad en su plataforma relacionada con este asunto. La empresa añadió que, por política, no comenta casos concretos de clientes y que sus equipos trabajan de forma proactiva para apoyar a quienes lo necesiten. Traducido a lenguaje llano: el proveedor de la nube donde vive la plataforma no encontró la puerta en su propio código.
Una persona con conocimiento del caso contó a The Hindu BusinessLine que la investigación del banco cubre todas sus áreas, aunque la vertical de préstamos para vehículos, llamada Wheels dentro de la entidad, sería la única con posibles brechas. Esa misma fuente calificó los reclamos sobre los datos KYC de no verificados y no validados, y sostuvo que el sistema bancario central está a salvo.
El contexto indio aprieta. The Hindu BusinessLine recuerda que en días recientes se reportaron ataques con el mayor banco del país, State Bank of India, y con el privado ICICI Bank entre las entidades señaladas como posibles afectadas. El 25 de octubre, el primer ministro Narendra Modi advirtió de ciberataques pensados para debilitar la economía india, al inaugurar un centro de datos y un instituto de formación en ciberseguridad del banco central en Bhubaneswar.
Ese plazo de seis días que fijó ScarlettGroup corre desde esta semana y el banco no ha confirmado negociación alguna. Si el grupo publica muestras verificables, el caso cambia de categoría; si el plazo vence sin material comprobable, el reclamo quedará como una amenaza sin respaldo. Por ahora, lo confirmado cabe en dos frases: AU Small Finance Bank investiga una plataforma de terceros con datos de préstamos para vehículos, y Salesforce no halló el fallo en su plataforma.
Fuente: The Hindu BusinessLine
