Jose Antonio Carmona
Editor SeniorEstamos normalizando, y no debería, que aparezcan noticias sobre ataques a grandes empresas que ponen en juego nuestra seguridad y nuestros datos. Esta vez le ha tocado a Endesa, que habría sido objetivo de un incidente de ciberseguridad.
Así lo han contado los compañeros de Escudo Digital, y nosotros mismos lo hemos podido confirmar al recibir un aviso relacionado con este caso. Todo apunta a que la energética ha sufrido un acceso no autorizado a su plataforma comercial, lo que habría permitido a un atacante acceder —y potencialmente extraer— información sensible de algunos clientes.
Datos que se habrían filtrado
Imagen | Álvaro García
Según lo comunicado, entre los datos que podrían haberse visto comprometidos estarían datos de contacto, documentos de identidad y el IBAN asociado a la cuenta bancaria. Endesa, eso sí, matiza que las contraseñas de acceso no se han visto afectadas.
La compañía ya está contactando con los clientes afectados mediante correo electrónico, explicando lo sucedido y ofreciendo recomendaciones. Este es un fragmento del aviso que está llegando a los usuarios:
En este sentido, lamentamos comunicarle que Endesa Energía ha detectado un incidente de seguridad, que ha permitido el acceso no autorizado e ilegítimo a su plataforma comercial. Este incidente ha comprometido la confidencialidad de ciertos datos de los que Endesa Energía es responsable.
A pesar de las medidas de seguridad implementadas por esta compañía, hemos detectado evidencias de un acceso no autorizado e ilegítimo a ciertos datos personales de nuestros clientes relativos a sus contratos energéticos entre los cuales se encuentran los suyos. La investigación en el momento actual refleja que el actor malicioso habría tenido acceso y podría haber exfiltrado de nuestros sistemas datos identificativos básicos, de contacto, DNIs y datos relativos a su contrato con Endesa Energía y eventualmente sus medios de pago (IBANs), si bien, en ningún caso, se han visto comprometidos datos de acceso a contraseñas.
Desde Xataka SmartHome nos hemos puesto en contacto con la empresa para solicitar más información, pero en el momento de publicar este artículo todavía no hemos recibido respuesta.
Según reza el aviso, “a fecha de esta comunicación, no hay constancia de que se haya realizado uso fraudulento alguno de los datos afectados por el incidente, resultando improbable que se materialice una afectación de alto riesgo para sus derechos y libertades”.
Según Escudo Digital, el incidente se habría producido el pasado 6 de enero y el supuesto responsable compartió información sobre el ataque en un foro de la dark web el domingo 4 de enero. En esa publicación aseguraba haberse hecho con más de 1 TB de datos de la compañía, relacionados con más de 20 millones de personas.
Por ahora no consta un uso indebido, pero Endesa advierte de posibles intentos de suplantación de identidad o campañas de phishing y spam. Aunque considera poco probable un impacto de alto riesgo, recomienda estar atentos a comunicaciones sospechosas y reportar cualquier actividad al 800 760 366.
Según Escudo Digital “por los nombres de tablas y ficheros, el nivel de sensibilidad de los datos es extremo. Hay datos personales, como nombres y apellidos, datos de contacto, dirección postal, y relación cuenta-persona; datos financieros, como IBAN, datos de facturación e historial de cuentas y cambios; datos energéticos, como CUPS (identificador único de punto de suministro), contractos activos de luz y gas, datos del punto de suministro y datos regulatorios, como Listas Robinson, cuentas exentas e historial de incidencias”.
Desde Endesa nos han respondido remitiéndose directamente al comunicado que están enviando a los afectados pero sin confirmar algún dato extra. Toda la información a la que hacen referencia se puede consultar en esta web.
Imagen portada | Endesa
En Xataka SmartHome | La OCU alerta sobre el cruce de CUPS. Un error que puede costarte un dineral en la factura de la luz y el gas
Ver 0 comentarios