Spain, responsable del ‘hackeo’ a Endesa, afirma que ha difundido los datos de 300.000 clientes de la compañía energética con el objetivo de obtener una respuesta antes de poner a la venta el conjunto completo, que incluiría a más de 20 millones de usuarios.

Hace dos semanas, Endesa Energía comenzó a informar a sus clientes sobre un «acceso no autorizado e ilegítimo» a su plataforma comercial, que provocó la extracción de información personal sensible relacionada con los contratos de luz y gas.

A principios de enero, el ‘hacker’ Spain se puso en contacto exclusivamente con el portal Escudo Digital para revelar el ‘hackeo’, anunciado previamente en un foro de la ‘darkweb’, donde indicaba haber obtenido más de 1TB de datos de la empresa que involucran a más de 20 millones de personas.

En ese mismo medio, Spain sostiene que ha intentado comunicarse en varias ocasiones con Endesa y que permanece a la espera de una respuesta. Incluso ha ampliado el plazo, fijando la fecha límite para el 2 o 3 de febrero.

Para aumentar la presión, asegura que ha hecho pública una muestra que afecta a 300.000 clientes como demostración. Además, recalca que está «dándoles tiempo extra para evitar que la situación termine en desastre».

Antes de que Endesa notificara a sus clientes sobre el incidente, Spain ya había publicado un ejemplo con mil clientes en el mismo foro donde ofertaba la venta del conjunto completo de datos.

Según la investigación interna de Endesa, el responsable habría accedido y posiblemente exfiltrado datos de contacto, documentos de identidad y el IBAN de las cuentas bancarias.

Aunque hasta ahora no se ha detectado un uso inadecuado de la información robada, se advierte que otros actores malintencionados podrían intentar usurpar o suplantar la identidad de los usuarios, publicar esos datos en foros digitales o emplearlos para enviar correos y mensajes fraudulentos dirigidos mediante campañas de ‘phishing’ y ‘spam’.