Ciberataque a Endesa: la compañía confirma una brecha de seguridad y la filtración de datos personales, DNI y cuentas bancarias de clientes

Las filtraciones de datos son algo habitual. En esta ocasión, han sido los clientes de Endesa Energía los que han comenzado a recibir esta misma mañana una comunicación urgente por parte de la compañía relacionada con esta problemática. La eléctrica ha confirmado la detección de un incidente de seguridad que ha permitido a terceros acceder de forma ilegítima a su plataforma comercial, comprometiendo la privacidad de una parte de su base de usuarios.

Según la información facilitada en el propio mensaje, el ataque ha logrado vulnerar las barreras de seguridad, permitiendo a los atacantes visualizar y potencialmente exfiltrar un paquete de datos personales muy sensibles. Entre la información comprometida se encuentran datos identificativos básicos, información de contacto, números de DNI y detalles relacionados con el contrato energético.

El punto más crítico de esta filtración es la confirmación de que los medios de pago, como el IBAN, también podrían haber sido expuestos. No obstante, Endesa ha querido matizar que, en ningún caso, se han visto comprometidas las credenciales de acceso o contraseñas a la cuenta de usuario, por lo que el acceso directo al área de cliente por parte de los ciberdelincuentes no sería posible con los datos robados.

Alerta máxima ante posibles campañas de phishing

Tras detectar la intrusión, la compañía activó sus protocolos de seguridad, bloqueando a los usuarios comprometidos y notificando el hecho a la Agencia Española de Protección de Datos (AEPD), cumpliendo con la normativa vigente. Aunque la operativa de la compañía continúa con normalidad, el riesgo ahora se traslada al usuario final.

Endesa asegura que, hasta el momento, no hay constancia de un uso fraudulento de estos datos. Sin embargo, la combinación de nombre, DNI y número de cuenta bancaria es el caldo de cultivo perfecto para la suplantación de identidad. Los expertos advierten que los clientes afectados deben extremar la precaución ante correos electrónicos, SMS o llamadas telefónicas que parezcan provenir de la eléctrica o de entidades bancarias, ya que los atacantes podrían usar los datos reales para dar veracidad a estafas de ingeniería social. La compañía recomienda desconfiar de cualquier comunicación que solicite datos sensibles y reportar cualquier anomalía a la Policía.

A continuación, reproducimos el comunicado íntegro enviado por Endesa a los clientes afectados:

Estimado cliente,

para Endesa Energía S.A. (“Endesa Energía”), la protección de la privacidad y la seguridad de los datos personales que tratamos es un compromiso prioritario, así como la transparencia en la comunicación de cualquier aspecto relevante al respecto.

En este sentido, lamentamos comunicarle que Endesa Energía ha detectado un incidente de seguridad, que ha permitido el acceso no autorizado e ilegítimo a su plataforma comercial. Este incidente ha comprometido la confidencialidad de ciertos datos de los que Endesa Energía es responsable.

A pesar de las medidas de seguridad implementadas por esta compañía, hemos detectado evidencias de un acceso no autorizado e ilegítimo a ciertos datos personales de nuestros clientes relativos a sus contratos energéticos entre los cuales se encuentran los suyos. La investigación en el momento actual refleja que el actor malicioso habría tenido acceso y podría haber exfiltrado de nuestros sistemas datos identificativos básicos, de contacto, DNIs y datos relativos a su contrato con Endesa Energía y eventualmente sus medios de pago (IBANs), si bien, en ningún caso, se han visto comprometidos datos de acceso a contraseñas.

En cuanto Endesa Energía ha tenido conocimiento del incidente, se han activado los protocolos y procedimientos de seguridad establecidos al efecto, así como todas las medidas técnicas y organizativas necesarias para contenerlo, mitigar sus efectos y prevenir que se repita en el futuro, permitiendo así contener de manera inmediata y satisfactoria el incidente detectado e impidiendo el acceso no autorizado. Dichas medidas incluyen, entre otras, el bloqueo inmediato de los usuarios de acceso comprometidos, el análisis de los registros logs y la notificación a todos los clientes cuyos datos han sido comprometidos. Igualmente, se está realizando un seguimiento continuo especial de los sistemas para detectar cualquier actividad sospechosa. Asimismo, cumpliendo con la normativa aplicable, tras una valoración inicial del incidente, Endesa Energía ha notificado el incidente a las autoridades competentes, incluyendo la Agencia Española de Protección de Datos. La investigación tanto a nivel interno como con nuestros proveedores continúa en curso para obtener una comprensión completa de lo sucedido y tomar cualquier otra medida que sea necesaria.

A fecha de esta comunicación, no hay constancia de que se haya realizado uso fraudulento alguno de los datos afectados por el incidente, resultando improbable que se materialice una afectación de alto riesgo para sus derechos y libertades. Aun así, este acceso no autorizado a sus datos por parte del actor malicioso podría acarrear el intento, por su parte, de usurpar o suplantar su identidad, publicar dichos datos con la correspondiente pérdida de control sobre los mismos o utilizarlos para emprender acciones de phishing o envío de spam contra usted. Es por ello que le recomendamos que preste especial atención a posibles comunicaciones sospechosas que pudiera recibir en los próximos días y que comunique cualquier anomalía o desconfianza que pudiera detectar al respecto a través de nuestro centro de atención telefónica llamando al siguiente número de teléfono: 800.760.366.

Asimismo, le recomendamos que no proporcione datos personales o información sensible a personas que no conozca de primera mano y que, en caso de cualquier sospecha de uso fraudulento de su información o datos, lo ponga en nuestro conocimiento o en el de las Fuerzas y Cuerpos de Seguridad del Estado.

Tanto la operativa como los servicios de la compañía funcionan con total normalidad y puede seguir utilizándolos.

Rogamos disculpe cualquier inconveniente que este incidente pueda ocasionarle y le reiteramos nuestro compromiso con la seguridad y con el cumplimiento de la normativa de protección de datos. En cualquier caso, si tuviera cualquier duda sobre esta cuestión, puede ponerse en contacto con el Delegado de Protección de Datos de Endesa Energía en el siguiente correo electrónico: contactodpo@endesa.es

En caso de que, en el curso de los próximos días, obtengamos información adicional relevante sobre este incidente, nos pondremos en contacto con usted a la mayor brevedad.

Atentamente,

Endesa Energía

Fin del Artículo. ¡Cuéntanos algo en los Comentarios!