Endesa sufre un hackeo que compromete datos sensibles: ¿qué deben hacer los clientes?
Endesa Energía ha reconocido un ataque informático y un acceso no autorizado a su plataforma comercial que ha comprometiendo datos sensibles de clientes relacionados con sus contratos, incluidos el documento de identidad y los medios de pago.
Este hackeo ha afectado tanto a Endesa Energía, la comercializadora de mercado libre, como a Energía XXI, la del mercado regulado y la compañía ya ha explicado que los ciberdelincuentes habrían accedido a información personal y sensible de los clientes como datos personales y, en algunos casos, los códigos IBAN de las cuentas bancarias asociadas a los pagos. No obstante, las contraseñas no se habrían visto afectadas.
"Lamentamos comunicarle que Endesa Energía ha detectado un incidente de seguridad, que ha permitido el acceso no autorizado e ilegítimo a su plataforma comercial. Este incidente ha comprometido la confidencialidad de ciertos datos de los que Endesa Energía es responsable", ha informado la energética a sus clientes.
"A pesar de las medidas de seguridad implementadas por esta compañía, hemos detectado evidencias de un acceso no autorizado e ilegítimo a ciertos datos personales de nuestros clientes relativos a sus contratos energéticos entre los cuales se encuentran los suyos. La investigación en el momento actual refleja que el actor malicioso habría tenido acceso y podría haber exfiltrado de nuestros sistemas datos identificativos básicos, de contacto, DNIs y datos relativos a su contrato con Endesa Energía y eventualmente sus medios de pago (IBANs), si bien, en ningún caso, se han visto comprometidos datos de acceso a contraseñas", ha añadido.
Ante esta situación, ¿qué deben hacer los clientes? Desde ESET, compañía de ciberseguridad, recuerdan que cuando una organización responsable de custodiar datos personales sufre un incidente de este tipo, el riesgo no termina con la notificación de la brecha. La información expuesta puede ser reutilizada durante meses –o incluso años– para lanzar fraudes, suplantaciones de identidad o ataques dirigidos que aprovechan la confianza de los clientes en la empresa afectada.
"Cuando se produce una filtración de datos, es normal sentir preocupación, pero también es importante mantener la calma y actuar con criterio. Los delincuentes suelen explotar estos incidentes haciéndose pasar por la empresa afectada, utilizando datos reales para ganar credibilidad y tratar de engañar a las víctimas", afirma Josep Albors, director de Investigación y Concienciación de ESET España.
El experto advierte de que una de las formas más habituales de monetizar la información robada consiste en contactar directamente con los clientes mediante correos electrónicos, SMS o llamadas fraudulentas que aparentan ser comunicaciones legítimas. En estos mensajes, los atacantes pueden solicitar datos adicionales, pagos o instar a descargar archivos o acceder a enlaces maliciosos, aprovechando el contexto de alarma generado por la brecha.
RECOMENDACIONES PARA REDUCIR EL IMPACTO
Así, y ante una filtración de datos personales, desde ESET recomiendan adoptar una actitud proactiva para reducir al máximo el posible impacto.
Por ello, aconsejan cambiar las contraseñas cuanto antes. "Aunque no siempre se filtran credenciales, es aconsejable renovar las contraseñas, especialmente si llevaban tiempo sin cambiarse, y utilizar combinaciones robustas y únicas". También abogan por activar medidas de autenticación adicionales. "Siempre que sea posible, habilitar sistemas de doble factor de autenticación para evitar accesos no autorizados incluso si alguien obtiene tu contraseña".
Del mismo modo, piden mantenerse alerta ante comunicaciones sospechosas. "Desconfiar de mensajes que digan proceder de la empresa afectada y que incluyan enlaces, archivos adjuntos o solicitudes urgentes. Ante la duda, contacta tú mismo con la compañía por sus canales oficiales". Y revisar periódicamente las cuentas. "Comprobar con frecuencia tus perfiles online y cuentas bancarias para detectar movimientos, mensajes o acciones que no hayas realizado".
Por último, recomiendan buscar información de brechas de seguridad en internet. "Servicios gratuitos como Have I Been Pwned permiten comprobar si un correo electrónico u otros datos han aparecido en brechas conocidas y ayudan a anticiparse a posibles ataques".
