Nueva estafa de suplantación de identidad afecta a clientes de compañías eléctricas en España
Expertos en ciberseguridad han alertado sobre una nueva modalidad de fraude dirigida específicamente a clientes de las principales compañías eléctricas españolas como Iberdrola, Naturgy y Endesa. Esta estafa utiliza técnicas de ingeniería social para robar información personal y financiera de las víctimas, además de poder realizar cambios no autorizados en la contratación del servicio eléctrico.
Mecanismo de la estafa
El ataque sigue un patrón clásico de phishing pero con adaptaciones específicas al sector energético:
- Los ciberdelincuentes contactan a las víctimas mediante llamadas telefónicas o mensajes SMS/WhatsApp
- Se hacen pasar por representantes legítimos de las compañías eléctricas
- Solicitan datos personales y bancarios bajo el pretexto de verificar la cuenta, aplicar descuentos o regularizar facturas
- En algunos casos, redirigen a sitios web falsos que imitan los portales oficiales de estas empresas
Técnicas de ataque empleadas
Los estafadores utilizan diversas técnicas avanzadas para aumentar la efectividad del engaño:
- Vishing (Voice Phishing): Llamadas automatizadas o manuales con identificadores falsificados
- Smishing (SMS Phishing): Mensajes con enlaces maliciosos que conducen a páginas fraudulentas
- Spoofing de identidad: Uso de logos y diseños idénticos a los oficiales
- Ingeniería social: Creación de urgencia o miedo para precipitar la acción del usuario
Consecuencias del ataque
Las víctimas de esta estafa pueden sufrir múltiples consecuencias graves:
- Robo de credenciales bancarias y datos personales sensibles
- Cambio no autorizado de compañía eléctrica (procedimiento conocido como “cambio de comercializadora”)
- Acceso a otras cuentas vinculadas mediante técnicas de credential stuffing
- Posible infección con malware si se descargan archivos adjuntos maliciosos
Medidas de protección recomendadas
Para evitar caer en este tipo de estafas, los expertos recomiendan:
- Verificar siempre la autenticidad de las comunicaciones contactando directamente a la compañía a través de canales oficiales
- Nunca proporcionar datos personales o bancarios por teléfono o mensaje
- Comprobar que las URLs de los sitios web coinciden exactamente con los dominios oficiales
- Habilitar la autenticación multifactor en todas las cuentas relacionadas con servicios esenciales
- Instalar y mantener actualizado un software antivirus de confianza
Esta alerta fue reportada originalmente por expertos en ciberseguridad y documentada en Computer Hoy, donde se detallan más aspectos técnicos de esta amenaza.
Implicaciones para la seguridad corporativa
Este caso destaca la importancia de que las empresas implementen:
- Sistemas de autenticación robustos para operaciones sensibles
- Campañas de concienciación continua para clientes
- Mecanismos de detección temprana de dominios fraudulentos
- Protocolos claros de comunicación con los usuarios
Las compañías afectadas ya están trabajando con autoridades y expertos en ciberseguridad para mitigar el impacto de esta campaña fraudulenta y reforzar sus sistemas de protección al cliente.
