Endesa sufre un ciberataque y quedan expuestos DNI y datos bancarios de clientes

Endesa Energía ha reconocido un acceso no autorizado a su plataforma comercial que ha resultado en la extracción de datos de los clientes relacionados con sus contratos, incluidos el documento de identidad y los medios de pago.

Un actor malicioso ha sobrepasado las medidas de seguridad implementadas por la empresa en su plataforma comercial en un incidente de seguridad reciente, del que ya ha empezado a notificar a los usuarios afectados a través de un correo electrónico.

Este incidente, un «acceso no autorizado e ilegítimo», como lo expone la compañía, ha resultado en la extracción de datos personales sensibles de los clientes relacionados con los contratos de luz y gas.

Según la investigación que ha iniciado la compañía, el actor malicioso «habría tenido acceso y podría haber exfiltrado» datos de contacto, documentos de identidad y el IBAN de la cuenta bancaria. Endesa Energía matiza que no se han visto afectadas las contraseñas de acceso.

Aunque por el momento no ha detectado un uso indebido de los datos robados, advierte de que el actor malicioso podría intentar usurpar o suplantar la identidad de los clientes, publicar dichos datos en foros digitales o utilizarlos para enviar correos o mensajes fraudulentos dentro de campañas de ‘phishing’ y de ‘spam’.

La compañía considera «improbable» que este robo «se materialice en una afectación de alto riesgo para sus derechos y libertades», aunque recomienda a los clientes que estén atentos a «posibles comunicaciones sospechosas que pudiera recibir en los próximos días» y les insta a comunicar cualquier acción sospechosa en el número de teléfono: 800 760 366.

Nada más conocer el incidente, Endesa Energía también ha activado los protocolos y procedimientos de seguridad establecidos para estos casos, así como «todas las medidas técnicas y organizativas necesarias para contenerlo, mitigar sus efectos y prevenir que se repita en el futuro».

El portal ‘Escudo Digital’, que informó del ‘hackeo’ a Endesa el pasado 6 de enero, indicó de que el pirata informático que ha llevado a cabo el presunto ciberataque publicó detalles sobre el mismo en un foro de la ‘dark web’ el domingo 4 de enero, donde revelaba que se había hecho con más de 1 TB de información de la compañía referente a más de 20 millones de personas.

«Por los nombres de tablas y ficheros, el nivel de sensibilidad de los datos es extremo. Hay datos personales, como nombres y apellidos, datos de contacto, dirección postal, y relación cuenta-persona; datos financieros, como IBAN, datos de facturación e historial de cuentas y cambios; datos energéticos, como CUPS (identificador único de punto de suministro), contractos activos de luz y gas, datos del punto de suministro y datos regulatorios, como Listas Robinson, cuentas exentas e historial de incidencias», indicaba ‘Escudo Digital’.

¿Qué debo hacer si he sido víctima del ‘hackeo’ a Endesa?

Es fundamental mantenerse alerta ante comunicaciones sospechosas. Hay que desconfiar de los mensajes que digan proceder de la empresa afectada y que incluyan enlaces, archivos adjuntos o solicitudes urgentes.

Ante la duda, aconsejan contactar directamente con la compañía por sus canales oficiales. Endesa Energía ha instado a sus clientes a comunicar cualquier acción sospechosa en el número de teléfono 800 760 366.

También hay que comprobar con frecuencia los perfiles ‘online’ y las cuentas bancarias que estuviesen recogidas en los contratos, para detectar movimientos, mensajes o acciones que no hayan realizado los usuarios.

Existen, además, servicios gratuitos como ‘Have I Been Pwned’ que permiten comprobar si un correo electrónico u otros datos han aparecido en brechas conocidas y ayudan a anticiparse a posibles ataques.

Y aunque la empresa energética asegura que las contraseñas de los usuarios no se han visto afectadas, los expertos recomiendan cambiarlas igualmente, especialmente si llevan tiempo sin actualizarse.

Además de que sean robustas y únicas, aconsejan acompañarlas de un proceso de inicio de sesión de multifactor, que evita que los ciberdelincuentes accedan a la cuenta incluso si han conseguido la contraseña.