Origin Energy investiga una posible violación de los datos de los clientes

      El mayor minorista de energía de Australia ha informado a la ASX que puede haberse accedido a cierta información de clientes sin autorización, aunque dice que los detalles de tarjetas y bancarios parecen intactos.

      Origin Energy, el mayor minorista de electricidad y gas de Australia, informó a la Bolsa de Valores de Australia el 22 de julio que está investigando un posible acceso no autorizado a algunos de los datos de sus clientes.

      La empresa dijo que no cree que la información afectada incluya detalles de tarjetas de crédito o bancarios, aunque no especificó cuántas personas se vieron involucradas en el incidente.

      La divulgación llega en un año ya marcado por intrusiones corporativas, desde un compromiso de la cadena de suministro en Klue que filtró registros de clientes de LastPass hasta el segundo grupo de extorsión que surgió semanas después para presionar con sus propias demandas.

      La declaración de Origin es, por ahora, notablemente escasa en detalles, lo que puede ser prudencia o la niebla temprana de una investigación que aún no ha seguido su curso.

      En su presentación, Origin dijo que sus "investigaciones sobre este incidente están ocurriendo como un asunto de urgencia" y que "proporcionará más actualizaciones según sea apropiado".

      El minorista agregó que había notificado al Centro de Ciberseguridad de Australia, a la Policía Federal Australiana y a la Oficina del Comisionado de Información de Australia, el regulador que supervisa el esquema de violaciones de datos notificables del país.

      Bajo ese esquema, una organización generalmente está obligada a alertar tanto a los individuos afectados como al regulador una vez que se juzga que una violación es probable que cause daño grave, un umbral que Origin no ha dicho que haya alcanzado.

      Lo que aún no está claro es cómo ocurrió el acceso, cuándo comenzó o si algún dato realmente ha salido de los sistemas de Origin.

      La empresa no ha nombrado un sistema afectado, un proveedor externo o un punto de entrada, y ningún actor de amenazas había reclamado públicamente la responsabilidad en el momento de la divulgación.

      Ese silencio no ha permanecido vacío por mucho tiempo. Según Insurance Business, una persona que afirma haber violado Origin contactó a The Australian y dijo que tenía los registros de millones de clientes, proporcionando una muestra de alrededor de 50 registros que supuestamente incluían nombres, direcciones, fechas de nacimiento, números de teléfono e historial de facturación.

      La afirmación no ha sido verificada de manera independiente, y Origin no ha confirmado ni la magnitud del incidente ni las categorías de datos involucrados.

      Si es precisa, la supuesta carga sería menos alarmante que algunas, precisamente por lo que Origin dice que falta.

      Las credenciales financieras son la ruta más rápida de una violación a un fraude, y la primera lectura de la empresa es que los detalles de tarjetas y bancarios no fueron expuestos.

      Los nombres, direcciones y fechas de nacimiento son más silenciosos pero más duraderos, la materia prima para el robo de identidad y la ola de phishing que tiende a seguir cualquier divulgación pública.

      Australia ha pasado los últimos años aprendiendo esta lección en público. Los ataques de 2022 a Optus y Medibank empujaron los datos personales de millones a manos criminales y provocaron un endurecimiento del régimen de privacidad del país, incluyendo penas más severas por violaciones graves o repetidas.

      Los reguladores en otros lugares han observado cómo los grupos de extorsión se han vuelto aún más audaces, en un caso un organismo gubernamental de EE. UU. pagando un rescate de siete cifras a atacantes que nunca bloquearon un solo archivo.

      El patrón a través de incidentes recientes, incluida la violación de un proveedor de educación que expuso datos relacionados con cientos de millones de estudiantes, es que la primera divulgación rara vez captura el panorama completo.

      Los números aumentan. Las categorías de datos robados se expanden. El proveedor en el centro resulta estar entre la empresa nombrada y una docena de otras.

      Para los clientes de Origin, el consejo práctico por ahora se reduce a la vigilancia: estar atentos a correos electrónicos o llamadas inesperadas, y tratar cualquier mensaje que haga referencia a una cuenta de Origin con sospecha hasta que la empresa diga más.

      "Entendemos que un incidente como este puede generar preocupaciones", dijo Origin, reconociendo "el impacto de esta incertidumbre" en las personas cuyos datos posee.

      La empresa ha prometido una actualización adicional una vez que su investigación se consolide. Hasta entonces, sus clientes esperan el único detalle que convierte una divulgación en una historia con forma: un número y un relato confirmado de lo que realmente salió del edificio.