Un 'hackeo' a Endesa Enerxía compromete datos sensibles dos clientes, incluídos DNI e medios de pago

Endesa Enerxía recoñeceu un acceso non autorizado á súa plataforma comercial que resultou na extracción de datos dos clientes relacionados cos seus contratos, incluídos o documento de identidade e os medios de pago.

Un actor malicioso ha excedido as medidas de seguridade implementadas pola empresa na súa plataforma comercial nun incidente de seguridade recente, do que xa empezou a notificar aos usuarios afectados a través dun correo electrónico.

Este incidente, un "acceso non autorizado e ilexítimo", como o expón a compañía, resultou na extracción de datos persoais sensibles dos clientes relacionados cos contratos de luz e gas.

Segundo a investigación que iniciou a compañía, o actor malicioso "habería tido acceso e podería haber exfiltrado" datos de contacto, documentos de identidade e o IBAN da conta bancaria. Endesa Enerxía matiza que non se viron afectados os contrasinais de acceso.

Aínda que polo momento non detectou un uso indebido dos datos roubados, advirte de que o actor malicioso podería tentar usurpar ou suplantar a identidade dos clientes, publicar devanditos datos en foros dixitais ou utilizalos para enviar correos ou mensaxes fraudulentas dentro de campañas de 'phishing' e de 'spam'.

A compañía considera "improbable" que este roubo "materialícese nunha afectación de alto risco para os seus dereitos e liberdades", aínda que recomenda aos clientes que estean atentos a "posibles comunicacións sospeitosas que puidese recibir nos próximos días" e ínstalles a comunicar calquera acción sospeitosa no número de teléfono: 800 760 366.

Nada máis coñecer o incidente, Endesa Enerxía tamén activou os protocolos e procedementos de seguridade establecidos para estes casos, así como "todas as medidas técnicas e organizativas necesarias para contelo, mitigar os seus efectos e previr que se repita no futuro".

O portal 'Escudo Dixital', que informou do 'hackeo' a Endesa o pasado 6 de xaneiro, indicou de que o pirata informático que levou a cabo o presunto ciberataque publicou detalles sobre o mesmo nun foro da 'dark web' o domingo 4 de xaneiro, onde revelaba que se fixo con máis de 1 TB de información da compañía referente a máis de 20 millóns de persoas.

"Polos nomes de táboas e ficheiros, o nivel de sensibilidade dos datos é extremo. Hai datos persoais, como nomes e apelidos, datos de contacto, dirección postal, e relación conta-persoa; datos financeiros, como IBAN, datos de facturación e historial de contas e cambios; datos enerxéticos, como CUPS (identificador único de punto de subministración), contractos activos de luz e gas, datos do punto de subministración e datos regulatorios, como Listas Robinson, contas exentas e historial de incidencias", indicaba Escudo Dixital.