Un acceso no autorizado a Endesa compromete datos personales y bancarios de clientes
¿Qué ha pasado?
Autoridad / Entidad afectada: Endesa Energía.
Hecho: Endesa ha confirmado un acceso no autorizado a su plataforma comercial que ha provocado la posible exfiltración de datos personales y financieros de clientes, incluidos DNI y datos bancarios (IBAN).
Alcance estimado: Según fuentes especializadas, el incidente podría afectar a más de 20 millones de clientes, con un volumen de información sustraída superior a 1 terabyte de datos.
Datos comprometidos
Según la investigación inicial de la compañía y la información publicada por portales especializados, el actor malicioso habría tenido acceso a:
Nombre y apellidos.
Datos de contacto (correo electrónico, teléfono, dirección postal).
Documento Nacional de Identidad (DNI).
IBAN y datos asociados a cuentas bancarias.
Datos de facturación e historial de contratos.
Información energética: CUPS, contratos de luz y gas, puntos de suministro.
Datos regulatorios (Listas Robinson, cuentas exentas, incidencias).
Endesa ha indicado que las contraseñas de acceso no se han visto comprometidas.
Riesgos derivados del incidente
Aunque Endesa afirma no haber detectado un uso indebido inmediato de los datos, advierte de posibles riesgos futuros, entre ellos:
Suplantación de identidad.
Campañas de phishing y fraude dirigidas.
Publicación de los datos en foros de la Dark Web.
Uso prolongado de la información robada para fraudes a medio y largo plazo.
Expertos en ciberseguridad recuerdan que este tipo de información puede reutilizarse durante meses o incluso años.
Medidas adoptadas por la compañía
Tras detectar el incidente, Endesa ha informado de que:
Activó de inmediato sus protocolos internos de seguridad.
Implantó medidas técnicas y organizativas para contener la brecha.
Inició la notificación a los clientes afectados por correo electrónico.
Ha reforzado sus sistemas para prevenir incidentes similares.
La compañía ha habilitado un canal de atención específico (800 760 366) para que los clientes comuniquen cualquier actividad sospechosa.
Contexto y origen del ataque
El portal especializado Escudo Digital informó de que el presunto atacante publicó detalles del incidente en un foro de la Dark Web, asegurando haber obtenido más de 1 TB de información altamente sensible.
Por los nombres de tablas y ficheros filtrados, el nivel de criticidad de los datos se considera extremo, al incluir tanto información personal como financiera y contractual.
Conclusión
El incidente sufrido por Endesa pone de manifiesto el elevado impacto que pueden tener las brechas de seguridad en organizaciones que gestionan grandes volúmenes de datos personales y financieros.
Aunque la empresa considera improbable una afectación de alto riesgo inmediato, el volumen y la naturaleza de la información comprometida obligan a extremar la vigilancia y refuerzan la importancia de una gestión proactiva de la ciberseguridad y la protección de datos conforme al RGPD.
Este caso vuelve a situar en el centro del debate la responsabilidad de las grandes compañías energéticas en la custodia de datos sensibles y la necesidad de planes eficaces de prevención y respuesta ante incidentes de seguridad.
Fuente: https://www.worldcomplianceassociation.com/noticias.php?id=5298
