Andalucía es la comunidad autónoma más afectada por los hackeos a Endesa, con riesgo de suplantación de identidad, phishing y spam, aunque no se han robado claves de acceso.

Cuando escuchas la palabra "ciberataque", tu primer impulso suele ser correr a cambiar la contraseña, pero en esta ocasión, eso no servirá de mucho. Y es que Endesa Energía ha confirmado una brecha de seguridad en su plataforma comercial y la situación es delicada.

Si bien los ciberdelincuentes no han vulnerado las claves de acceso; sí han extraído información mucho más valiosa, permanente y difícil de modificar, como lo es tu nombre completo, tu DNI y tu número de cuenta bancaria.

El botín: qué saben exactamente de ti

La compañía eléctrica ha comenzado a enviar notificaciones a los clientes afectados para informar del alcance del robo. El inventario de datos exfiltrados incluye tu documento de identidad, dirección, teléfono, el código CUPS de tu punto de suministro y el IBAN de tu cuenta corriente.

Aunque el incidente afecta a todo el territorio nacional, el volumen de datos comprometidos es especialmente sensible en regiones como Andalucía, dada la amplia penetración de la compañía en esa zona.

En su comunicación oficial, Endesa reconoce el "acceso no autorizado e ilegítimo" a sus sistemas. Y aunque la empresa califica como improbable que este robo se materialice en una afectación de alto riesgo para tus derechos, la realidad de los datos expuestos sugiere que debes extremar la precaución.

Se ha confirmado que las contraseñas están a salvo, sí, pero tu información administrativa y financiera circula fuera de control, por lo que es demasiado peligroso.

1 TB de datos en la 'dark web'

Mientras la versión de la empresa intenta contener la alarma, la información que se mueve en los foros de ciberdelincuencia dibuja un escenario más complejo. Según reporta el portal especializado Escudo Digital, el presunto autor del ataque ha publicado detalles en la dark web, asegurando poseer más de 1 TB de información.

Las cifras que maneja el pirata informático elevan el suceso de incidente puntual a filtración masiva, puesto que asegura tener datos referentes a 20 millones de personas.

El archivo incluiría no solo los datos básicos, sino también historiales de facturación, cambios de cuenta, así como registros regulatorios sensibles, como la identificación de usuarios inscritos en la Lista Robinson. Y es que el riesgo real no es que entren en tu cuenta de la luz, sino lo que pueden hacer con tu identidad.

Con un DNI y un IBAN no pueden vaciarte la cuenta bancaria directamente desde un cajero, pero sí tienen lo necesario para intentar domiciliar recibos fraudulentos, dar de alta líneas telefónicas a tu nombre o contratar servicios financieros suplantando tu identidad.

Sin embargo, la amenaza más inmediata es el phishing. Hasta ahora, era fácil detectar estafas por correos genéricos o con faltas de ortografía. Ahora, los ciberdelincuentes pueden enviarte un email o SMS haciéndose pasar por Endesa (o tu banco) incluyendo tu nombre, apellidos, DNI y número de contrato correctos.

Al tener tus datos reales, el mensaje gana una credibilidad total, lo que aumenta exponencialmente las posibilidades de que caigas en la trampa y entregues, esta vez sí, tus claves privadas.

Ante la gravedad de la exposición, Endesa ha activado sus protocolos de seguridad y ha habilitado el número gratuito 800 760 366 para que comuniques cualquier actividad sospechosa.

Tu mejor defensa ahora es la vigilancia activa, por lo que debes revisar con lupa los movimientos de tu cuenta bancaria en las próximas semanas y desconfiar por sistema de cualquier comunicación urgente que te solicite acciones inmediatas, aunque contenga tus datos personales correctos.

Esto significa que tu contraseña sigue siendo secreta y nadie la tiene, pero tu identidad ha quedado al descubierto, por lo cual, los ciberdelincuentes no dudarán en aprovecharla.