エンデサとエネルギアXXIへのサイバー攻撃についてわかっていることすべて

最近の エンデサとその規制対象エネルギー供給業者であるエネルギアXXIに対するサイバー攻撃 これにより、エネルギー分野における個人データの保護についての懸念が生じています。 同社は、 不正アクセス スペインの何百万人ものユーザーの機密情報を公開した商業プラットフォームに.

同社が被害者に発表した声明によると、この事件により攻撃者は 電気とガスの契約に関連するデータを抽出する連絡先情報、身分証明書、銀行口座情報などが含まれています。電気とガスの供給は侵害されていませんが、侵害の規模から判断すると、 近年の欧州エネルギー業界における最もデリケートな出来事の一つ.

エンデサプラットフォームへの攻撃がどのように発生したか

電力会社は、悪意のある行為者が 実施されたセキュリティ対策を克服することができた 商業プラットフォームとアクセス 顧客情報を含むデータベース エンデサ・エネルヒア（自由市場）とエネルヒアXXI（規制市場）の両方から供給された。この事件は12月末に発生したと報じられている。 強盗疑惑の詳細がダークウェブフォーラムで広まり始めたことで、この事件は明るみに出た。.

エンデサは、この出来事を次のように説明する。 「不正かつ不法なアクセス」 同社は、商用システムとは別に、初期の社内分析に基づき、侵入者が アクセスして脱出できたかもしれない エネルギー契約に関連するさまざまな情報ブロックがありますが、 ログイン資格情報 ユーザーは安全なままです。

同社筋によると、サイバー攻撃は すでに実施されているセキュリティ対策にもかかわらず そして、その徹底的な見直しを迫った。 技術的および組織的な手順並行して、侵入がどのように発生したかを詳細に再現するために、技術プロバイダーと協力して内部調査が開始されました。

その調査が進行中であるが、エンデサは 商業サービスは通常通り運営されている封じ込め措置として一部のユーザー アクセスがブロックされていますが、最初の数日間は、影響を受けた顧客を特定し、何が起こったかを直接通知することを優先しました。

サイバー攻撃で侵害されたデータは何か

攻撃者がアクセスできた会社の通信の詳細 基本的な個人情報および連絡先情報 （氏名、電話番号、住所、メールアドレス）および電気・ガス供給契約に関する情報が含まれます。

漏洩の可能性がある情報には、 DNI（国民身分証明書）などの身分証明書 そして、場合によっては、 銀行口座のIBANコード 請求書の支払いに関連する情報です。つまり、管理データや商業データだけでなく、特に機密性の高い財務情報も含まれます。

さらに、専門フォーラムで公開されたさまざまな情報源やリークによると、侵害されたデータには以下が含まれると示唆されている。 エネルギーと技術情報 CUPS (一意の供給ポイント識別子)、請求履歴、有効な電気およびガス契約、記録されたインシデント、特定の顧客プロファイルにリンクされた規制情報などの詳細情報。

しかし同社は、 プライベートエリアにアクセスするためのパスワード Endesa Energía および Energía XXI より 影響を受けていない この事件のせいで、攻撃者は顧客のオンラインアカウントに直接アクセスするために必要な鍵を原理的に持っていないことになりますが、パーソナライズされた詐欺によって顧客を騙そうとするのに十分なデータは持っています。

同社の元顧客の一部 通知も受信し始めました データが漏洩する可能性があることを警告しており、この侵害は現在有効な契約だけでなく過去の記録にも影響する可能性があることを示唆しています。

ハッカーのバージョン：1テラバイト以上、最大20万件のレコード

エンデサが事件の正確な範囲を分析する一方で、攻撃の責任を主張するサイバー犯罪者は、 ダークウェブ上の「スペイン」彼は専門フォーラムで自身の事件に関する見解を述べている。彼の説明によると、彼は問題の会社のシステムにアクセスできたという。 2時間ちょっと 1テラバイトを超える .sql 形式のデータベースを盗み出します。

これらのフォーラムでスペインは、 約20万人これは、スペインのエンデサ・エネルヒアとエネルヒアXXIが抱える約1000万人の顧客数をはるかに上回る数字だ。これがブラフではないことを証明するため、攻撃者はさらに、 約1.000件のレコードのサンプル 実際の検証済みの顧客データを使用します。

サイバー犯罪者自身がサイバーセキュリティを専門とするメディアに連絡を取った。 エンデサと契約していたジャーナリストからの具体的な情報提供 リークの信憑性を裏付けるために、これらのメディアは、提供されたデータが比較的最近の国内供給契約と一致していることを裏付けています。

スペインは、現時点では、 データベースを第三者に販売していない彼は盗まれた情報の約半分に対して最高250.000万ドルの申し出を受けたことを認めているものの、他の利害関係者との取引を確定させる前に電力会社と直接交渉したいとメッセージの中で主張している。

これらのやり取りの中で、ハッカーは会社の対応の悪さを批判し、 「彼らは私に連絡してきません。彼らは顧客のことを気にかけていません。」 回答が得られなければさらなる情報を公開すると脅迫している。一方、エンデサは慎重な姿勢を維持し、事件の確認にとどめ、犯人の主張についてはコメントしていない。

会社に対する恐喝や交渉の可能性

セキュリティ侵害が公表されると、シナリオは 会社に圧力をかけようとするサイバー犯罪者は、複数のエンデサの企業アドレスに、交渉を開始しようとするメールを送ったと主張している。 最初に身代金を設定せずに行う恐喝行為.

スペイン自身が一部のメディアに説明したように、彼の意図は エンデサと金額と期限について合意する 盗んだデータベースを販売・配布しないことと引き換えに、彼は今のところ具体的な金額を公表しておらず、エネルギー会社からの返答を待っている。

一方、攻撃者は、何らかの合意に達することができなかった場合、 第三者からのオファーを受け入れる データ入手に関心を示した企業。この戦略は、個人情報や金融データの窃盗を大企業への圧力手段として利用する、サイバー犯罪においてますます蔓延しているパターンに合致する。

法的および規制的な観点から、身代金の支払いや秘密協定は それは複雑な倫理的および法的シナリオを生み出します。そのため、企業は通常、こうした接触についてコメントを避けます。今回のケースでは、エンデサは関係当局に協力しており、顧客の保護を最優先していることを改めて表明したに過ぎません。

一方、治安部隊は ダークウェブ上での攻撃者の活動を追跡する 当局はすでに犯人の身元を特定するための証拠を集めている。一部の情報筋は、襲撃はスペインで発生した可能性があると示唆しているが、スペインの正体についてはまだ公式な確認はない。

エンデサからの公式回答と当局の措置

数日間の憶測と地下フォーラムでの投稿の後、エンデサは 影響を受ける可能性のある顧客にメールを送信する 何が起こったのかを説明し、基本的な保護対策の推奨事項を提示します。これらのメッセージでは、企業は不正アクセスを認め、侵害されたデータの種類について簡潔に説明しています。

同社は、事件が発覚した直後、 内部セキュリティプロトコルを有効化した同社は、侵害された認証情報をブロックし、攻撃を封じ込め、その影響を最小限に抑え、同様のインシデントの再発を防止するための技術的対策を講じました。また、システムへのアクセスを特別に監視し、異常な動作を特定するための対策も実施しています。

欧州のデータ保護規則に従い、エンデサは違反を スペインデータ保護庁 (AEPD) そして 国立サイバーセキュリティ研究所（INCIBE）国家治安部隊と軍団にも通知され、事件の調査手続きが開始された。

同社は、 「透明性」と当局との連携また、通知義務は規制当局とユーザー自身の両方に及ぶことを覚えておいてください。漏洩の具体的な範囲が明らかになるにつれて、段階的に通知されます。

ファクアなどの消費者団体はAEPDに、 徹底的な調査を開始する 調査の目的は、電力会社が適切なセキュリティ対策を講じていたか、また、侵害管理が規制に従って実施されていたかを判断することです。特に、対応の迅速さ、システムの事前保護、そしてリスクを最小限に抑えるために今後講じられる対策に重点が置かれています。

顧客にとっての真のリスク：個人情報の盗難と詐欺

エンデサは声明の中で、 当該事件が高リスクの危害をもたらす可能性は「低い」 顧客の権利と自由に関して、サイバーセキュリティの専門家は、この種の情報を公開すると、さまざまな詐欺のシナリオにつながる可能性があると警告しています。

氏名、ID番号、住所、IBANなどの情報を使用して、 サイバー犯罪者は誰かになりすます可能性があります。 被害者の個人情報は、高い信憑性をもって偽装されます。これにより、例えば、本人の名義で金融商品の契約を結んだり、特定のサービスにおける連絡先情報を変更したり、正当な所有者を装って請求や行政手続きを開始したりすることが可能になります。

もう一つの明らかなリスクは フィッシングやスパムキャンペーンのための情報の大量利用攻撃者は、Endesa、銀行、またはその他の企業になりすまして、実際の顧客データを含む電子メール、SMS メッセージを送信したり、電話をかけたりして、信頼を獲得し、さらに情報を提供したり緊急の支払いをするよう説得する可能性があります。

セキュリティ会社ESETは、 違反が報告されたその日に危険が終わるわけではないこのような攻撃で得られた情報は、数か月、あるいは数年にわたって再利用される可能性があり、過去のインシデントで盗まれた他のデータと組み合わせることで、ますます巧妙で検知が困難な詐欺行為が構築されます。大規模な感染の技術的な影響を理解するには、マシンが深刻な侵害を受けた場合に何が起こるかを振り返ることが役立ちます。 コンピュータがマルウェアに感染するとどうなりますか?.

だからこそ、当局や専門家は、 中長期的に警戒姿勢を維持するたとえ最初の事件から時間が経過していたとしても、定期的に銀行取引、異常な通知、少しでも疑わしいと思われる通信を確認します。

エンデサへの攻撃の被害を受けた人々への勧告

専門組織やサイバーセキュリティ企業自身が、一連の 影響を最小限に抑えるための実践的な対策 ユーザー間でこの種の侵害が発生しています。まず第一に、インシデントや個人情報、金融データに関する予期せぬ連絡には注意が必要です。

エンデサ、銀行、または他の団体からのメール、テキストメッセージ、または電話を受信した場合、 リンク、添付ファイル、または緊急のデータ要求リンクをクリックしたり、情報を提供したりしないことをお勧めします。疑わしい場合は、公式チャネルを通じて企業に直接連絡してください。詐欺に引っかかるリスクを冒すよりも、数分かけてメッセージの信憑性を確認する方が賢明です。このような場合、悪意のあるソースをブロックする方法を知っておくと役立ちます。 ウェブサイトをブロックする方法.

エンデサは顧客のパスワードを この攻撃では被害を受けていない専門家は、この機会に重要なサービスのアクセスパスワードを更新し、可能な限りシステムを有効にすることを勧めています。 二要素認証この追加のセキュリティ層により、たとえ攻撃者がパスワードを入手できたとしても、アカウントにアクセスするのがはるかに困難になります。

こちらもお勧めです 銀行口座を頻繁に確認する 漏洩したデータに関連する他の金融サービスにも、不正な取引や異常な請求を検知するための監視が行われます。情報が詐欺の疑いのある人物に提供された疑いがある場合は、直ちに銀行に連絡し、警察に通報することをお勧めします。

無料サービスなど 私はPwnedされたのか メールアドレスやその他のデータが既知のデータ侵害事例に登場したかどうかを確認できます。完全な保護を提供するものではありませんが、リスクをより明確に把握し、パスワードの変更やその他の予防策について情報に基づいた判断を下すのに役立ちます。

ヘルプラインと公式チャネルが利用可能

サイバー攻撃に関連する疑問を解決し、インシデントをチャネルするために、エンデサは サポート用の専用電話回線エンデサ・エネルギアの顧客はフリーダイヤルに電話できる 800 760 366一方、Energía XXIユーザーは 800 760 250 情報を要求したり、異常を検出した場合に報告したりします。

同社は、送信したメッセージの中で、ユーザーに 疑わしい通信には特に注意してください 今後数日中に、これらの電話を通じて、または治安部隊に連絡して、不信感を抱かせるようなメッセージや電話を受け取った場合は、直ちに報告するよう求めます。

エンデサ独自のチャンネルに加えて、市民は 国立サイバーセキュリティ研究所のヘルプサービスは、デジタルセキュリティ、オンライン詐欺、データ保護に関する問い合わせを解決するための無料電話番号 017 と WhatsApp 番号 900 116 117 を提供しています。

これらのリソースは個人、企業、専門家を対象としており、 専門家の指導を受ける 詐欺の被害に遭ったと疑われる場合、またはデータ侵害後にアカウントとデバイスのセキュリティを強化したい場合に取るべき手順について説明します。

法執行当局は、この事件に関連するあらゆる詐欺行為を報告するよう勧告している。 警察または治安部隊に正式な苦情を申し立てる将来の調査で証拠として役立つ可能性のある電子メール、メッセージ、またはスクリーンショットを提供します。

大企業に対するサイバーインシデントの波の中で、新たな攻撃が発生

エンデサ事件は、 大企業に対するサイバー攻撃の増加傾向 スペインとヨーロッパでは、特にエネルギー、運輸、金融、通信といった戦略セクターにおいて、 イベルドローラ、イベリア、レプソル、またはサンタンデール銀行 彼らも苦しんでいる 数百万の顧客のデータが侵害された事件.

この種の攻撃は、犯罪グループが純粋に金銭目的から 重要インフラと多国籍企業に焦点を当てる盗まれた情報の価値と企業への圧力は、はるかに高まっています。目的はもはや目先の利益を得ることではなく、長期にわたって悪用可能なデータを入手することにあります。

欧州レベルでは、当局は長年にわたり、次のようなより厳しい規制を推進してきた。 一般データ保護規則（GDPR） あるいは、サイバーセキュリティに関するNIS2指令では、企業に保護システムの改善と関連するインシデントの迅速な報告を義務付けています。

エンデサが被った漏洩は、これらの規制の進歩にもかかわらず、 理論上の要件と現実の間には大きなギャップが残っている 多くの技術インフラが複雑に絡み合っています。レガシーシステムの複雑さ、多数のプロバイダーとの相互接続、そしてデータの価値の増大は、これらの企業を非常に魅力的なターゲットにしています。

ユーザーにとって、このシナリオは基本的なものであることを意味する。 サービス提供者への信頼と積極的な自己防衛の姿勢を組み合わせる警告サインの検出方法を学び、適切なパスワード管理や機密通信の検証などの基本的なデジタル衛生ガイドラインを適用します。

エンデサとエネルギアXXIへのサイバー攻撃は、大手電力会社の商業プラットフォームへの侵入が、 何百万人もの人々の個人情報と金融データを公開 恐喝、個人情報窃盗、フィッシング攻撃につながる可能性があります。当局が捜査を行い、企業がシステムを強化するまでの間、お客様にとって最善の防御策は、常に最新情報を入手し、疑わしいメッセージには細心の注意を払い、公式チャネルやサイバーセキュリティ専門家の推奨事項に従うことです。