Filtración de datos de Tibber

Los tipos de datos incluidos en este incidente son: direcciones de correo electrónico, ubicaciones geográficas, nombres e información sobre compras. Los datos sobre consumo energético y ubicación pueden hacer más convincentes las facturas falsas o los mensajes que suplantan al servicio de atención al cliente. La vinculación de varios campos a un mismo usuario puede dar mayor credibilidad a los intentos de los atacantes de enviar notificaciones falsas, recuperar cuentas, recurrir a la ingeniería social o correlacionar identidades.

En este registro no figura el campo de contraseña; el riesgo se centra en la cuenta del servicio de energía, la facturación y las comunicaciones con los clientes. Si hay campos como contraseña, pista de contraseña, mensaje privado, documento oficial de identidad, información financiera, ubicación o foto de perfil, el riesgo no se limita al correo no deseado. Incluso en registros sin contraseña, la información sobre teléfono, dirección, IP, fecha de nacimiento o perfil social puede utilizarse en ataques dirigidos.

El registro abarca aproximadamente 50 000 registros de clientes asociados al dominio tibber.com. El incidente está clasificado como un registro confirmado. El alcance se ha redactado tras comprobar por separado el número de cuentas, el nombre de dominio, el país, el sector y las categorías de datos. No se han presentado al usuario tipos de datos no incluidos en la lista como si estuvieran presentes.

El sector se ha corregido a energía y suministro eléctrico. En algunos casos, la respuesta de la empresa se refiere a contextos distintos, como un servicio de terceros, una cuenta de foro, una lista de suscriptores de un boletín o un perfil de usuario. Estos registros se han separado individualmente, sin duplicarlos, y se ha conservado el contexto real del servicio al que corresponde el incidente.

Están en riesgo los clientes de Tibber, las personas con una cuenta de servicios energéticos y los usuarios que pueden ser seleccionados como objetivos por su ciudad o código postal. El principal riesgo para estos usuarios es que los datos filtrados puedan vincularse con información utilizada en otras plataformas. Si se repiten el mismo correo electrónico, nombre de usuario, número de teléfono, IP, dirección o contraseña en distintas cuentas, los atacantes pueden aprovechar esos identificadores compartidos.

El contexto energético puede utilizarse de forma indebida en mensajes falsos sobre facturas, medidores, pagos, descuentos o verificación de suscripciones. Los distintos contextos, como foros, juegos, recetas, alojamiento, energía, entradas para eventos, boletines, redes sociales y finanzas, generan riesgos diferentes. Conviene tener en cuenta no solo los campos de datos, sino también el servicio al que están asociados.

Los usuarios afectados deberían verificar los mensajes sobre facturas y pagos a través del canal oficial y comprobar la seguridad del correo electrónico asociado a su cuenta. Si se ha incluido una contraseña o una pista de contraseña, deberían cambiarla en todas las cuentas donde utilicen la misma contraseña o una similar, usar una contraseña única y activar la autenticación multifactor siempre que sea posible. También conviene comprobar la seguridad de la cuenta de correo electrónico.

En los casos en que el registro contenga teléfono, dirección, ubicación, fecha de nacimiento, mensajes privados, perfil social o información financiera, los usuarios deberían revisar las opciones de recuperación de la cuenta, el historial de inicios de sesión, las reglas de reenvío y las notificaciones sospechosas. Las personas con perfiles corporativos o públicamente visibles también deberían tener en cuenta el riesgo de recibir mensajes dirigidos y de sufrir daños a su reputación.

Es importante verificar rigurosamente los cálculos energéticos, comprobar las notificaciones de facturas y limitar los datos antiguos de clientes. A largo plazo, las medidas de protección fundamentales son utilizar un gestor de contraseñas, una contraseña única y autenticación multifactor, cerrar las cuentas antiguas y reducir la información innecesaria del perfil. Dado que los datos personales permanentes no se pueden cambiar, conviene reforzar los hábitos de seguridad del usuario y la configuración de las cuentas.

Para las instituciones, estos incidentes muestran la necesidad de auditar periódicamente los accesos a archivos de copia de seguridad, los permisos de las cuentas de foros, los datos de suscripción a boletines, los plazos de conservación de datos de clientes y los procesos de notificación. Para los usuarios, no repetir la misma información de identidad en distintos servicios y verificar los mensajes inesperados a través de un segundo canal ofrece una protección duradera.

Si encuentra una coincidencia con este registro, debería revisar las notificaciones sospechosas en su cuenta del servicio de energía y en su cuenta de correo electrónico. Ante una coincidencia, debería consultar primero qué campos de datos aparecen y después priorizar las medidas en función de ellos. Si hay una contraseña, conviene priorizar su cambio; si hay datos financieros, el seguimiento de la cuenta; si hay mensajes privados o perfiles sociales, la revisión de la privacidad; y si hay una ubicación, la evaluación de la seguridad física.

Evaluación final: aunque este registro no contiene una contraseña, se ha considerado que incluye datos sensibles de clientes por el contexto de consumo energético, ubicación y gastos. Debería comparar este registro con el historial de su cuenta y revisar por separado los servicios en los que utiliza el mismo correo electrónico, teléfono, nombre de usuario, dirección o contraseña. Tras el incidente, cualquier llamada, correo electrónico, mensaje o notificación de recuperación de cuenta que resulte sospechoso debería considerarse de mayor riesgo.