Origin Energy, una de las mayores eléctricas australianas con 4,8 millones de clientes, confirmó el pasado 23 de julio un acceso no autorizado que ha expuesto datos personales de aproximadamente dos millones de usuarios. El atacante, que se hace llamar ‘John Doe’, ha dado a la empresa catorce días para negociar antes de filtrar la información robada. Le pongo en antecedentes: estamos ante un caso de extorsión sin ransomware, cada vez más frecuente en el sector energético global. Yo lo veo como una nueva advertencia para las infraestructuras críticas del Indo-Pacífico, una región donde las brechas de datos de consumo ya han causado escándalos sonados.
El supuesto hacker afirmó en un correo enviado al medio australiano 7News que accedió a los sistemas de atención al cliente de Origin Energy y sustrajo registros con datos personales. «La mayoría son clientes fieles y de larga duración», escribió. «A pesar de que contacté a miembros del consejo, equipos de seguridad y atención al cliente, Origin no ha hecho público el incidente ni ha respondido para negociar los siguientes pasos.» El atacante dio catorce días de plazo y amenazó con revelar los datos si no se alcanza un acuerdo. No es el primer caso en el que un actor sin estructura estatal aprieta a una gran corporación con este método; lo he visto crecer desde los tiempos del ransomware de doble extorsión.
La información comprometida, según el comunicado de la compañía, incluye nombres, domicilios, fechas de nacimiento, números de teléfono y detalles de cuenta, así como los últimos cuatro dígitos de tarjeta de crédito o los tres últimos de cuenta bancaria. Aunque esos datos financieros parciales no permiten realizar compras ni acceder a cuentas, la combinación de datos personales completos es suficiente para campañas de phishing dirigido o suplantación de identidad. Le recuerdo que en 2022 la teleco australiana Optus sufrió una brecha masiva de 9,8 millones de clientes con un patrón similar, y las consecuencias regulatorias fueron durísimas.
Anatomía de la brecha: qué método utilizó ‘John Doe’ y cómo presiona a Origin
Origin Energy no ha detallado el vector de ataque. Fuentes del sector consultadas apuntan a que el acceso pudo producirse a través de una vulnerabilidad en aplicaciones web o mediante un ataque de phishing dirigido a empleados con credenciales de acceso a las bases de datos de clientes. La empresa ha movilizado a expertos externos y está cooperando con el Centro Australiano de Ciberseguridad (ACSC), la Policía Federal Australiana y la Oficina del Comisionado de Información. Las operaciones de generación y distribución no han sufrido interrupción, lo que descarta un ataque disruptivo sobre la red eléctrica.
El modus operandi recuerda a las extorsiones de datos: un atacante exfiltra información silenciosamente y luego amenaza con hacerla pública si no recibe un pago. No hay cifrado de archivos, no hay exigencia de rescate en criptomonedas con portales en la dark web; solo un correo y un plazo. Esta modalidad reduce la fricción técnica y permite a delincuentes con menos recursos operar como si fueran equipos de ransomware organizados. Usted debe saber que desde 2025 hemos visto un aumento de estos incidentes en el sector energético, desde Estados Unidos hasta Asia-Pacífico. No es casualidad: los datos de clientes son un activo con valor inmediato para el fraude.
Un solo atacante con acceso a sistemas de atención al cliente puede poner contra las cuerdas a una energética con millones de usuarios y desatar una crisis de confianza que tarda años en repararse.
Origin Energy ha asegurado que contactará a todos los afectados en cuanto se confirme el alcance total. La investigación, que arrancó el mismo 23 de julio, sigue abierta. La compañía insiste en que los fragmentos de tarjetas o cuentas bancarias son insuficientes para transacciones sin embargo la combinación con datos completos de identidad multiplica el riesgo de ingeniería social. Eso lo tengo claro: en el oficio de la ciberseguridad, no se necesita un número de tarjeta completo para empezar un ataque; basta una llamada convincente.
La reacción oficial y el historial de ciberataques a infraestructuras australianas
El Centro Australiano de Ciberseguridad (ACSC) ha confirmado que está al tanto del incidente y colabora con Origin Energy en la respuesta. La Policía Federal Australiana ha abierto una investigación, aunque no ha ofrecido detalles sobre la posible identidad de ‘John Doe’. La Oficina del Comisionado de Información evaluará si la empresa cumplió con sus obligaciones de notificación bajo la Privacy Act. En paralelo, la Comisión Australiana de Valores e Inversiones podría intervenir si se demuestra que la información expuesta afecta a inversores.
No es la primera vez que una gran empresa australiana sufre un incidente de esta naturaleza. En 2022, la teleco Optus perdió el control de los datos de 9,8 millones de clientes, incluyendo números de pasaporte y licencias de conducir. Aquel suceso desencadenó cambios legislativos en la notificación de brechas y en la capacidad del gobierno para intervenir en la ciberseguridad de las empresas críticas. Desde entonces, el sector energético ha estado en el punto de mira, y el ataque a Origin Energy confirma que los ciberdelincuentes han aprendido a maximizar el daño reputacional. Yo mismo lo traté en El quinto elemento: las infraestructuras críticas y sus bases de datos de clientes son el talón de Aquiles de las economías modernas.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza es una exfiltración de datos seguida de extorsión, sin despliegue de malware destructivo. El atacante, un desconocido que se esconde tras el pseudónimo ‘John Doe’, ha demostrado tener acceso a sistemas sensibles, pero no hay indicios de que actúe por encargo de un Estado. La atribución, en ausencia de muestras de malware o infraestructura de comando y control, es compleja. No obstante, el interés de actores criminales del este de Europa o del sudeste asiático por los datos de clientes en Australia no es nuevo; el propio ACSC ha alertado de bandas que operan como proveedores de acceso inicial para campañas posteriores de fraude.
Las agencias implicadas son, en defensa, la propia Origin Energy y el gobierno australiano a través del ACSC y la Policía Federal. En un segundo plano, los aliados del Five Eyes —Estados Unidos, Reino Unido, Canadá y Nueva Zelanda— monitorizan el incidente porque la seguridad energética del Indo-Pacífico tiene repercusiones globales. La empresa no ha sufrido un ataque a su red de control industrial, pero una filtración masiva de datos de clientes puede utilizarse para campañas de desinformación o para erosionar la confianza en el suministro eléctrico. Eso es lo que me preocupa: la dimensión psicológica del ciberataque.
El nivel de clasificación estimado de los datos expuestos es «Sin Clasificar pero Sensible». Los registros personales no tienen etiqueta de seguridad nacional, pero su volumen y naturaleza los convierten en un activo valiosísimo para delincuentes y, potencialmente, para servicios de inteligencia que busquen perfiles de ciudadanos australianos. El precedente de Optus en 2022 dejó claro que una brecha de esta escala puede obligar al gobierno a endurecer las normas de protección de datos, algo que ya está sobre la mesa en Canberra. Yo creo que este caso va a acelerar la discusión sobre la obligación de las empresas energéticas de reportar en tiempo real cualquier acceso a los datos de clientes, no solo los incidentes que afectan a la operación.
El historial de ciberataques a infraestructuras australianas es largo. Además de Optus, en 2021 la red eléctrica de Victoria fue blanco de un intento de intrusión desde China. En 2023, el operador portuario DP World sufrió un ataque de ransomware que paralizó varias terminales. Sin embargo, el factor diferencial aquí es la amenaza de filtración de datos personales con extorsión directa, sin intermediarios. Este esquema recuerda a las campañas de los grupos Lapsus$ o ALPHV/BlackCat, pero con un perfil mucho más bajo y sin reivindicación pública en foros clandestinos. Le adelanto que, si la tendencia continúa, veremos más ataques de este tipo en las próximas semanas, aprovechando la vulnerabilidad de empresas con grandes bases de datos y equipos de seguridad aún incipientes.
Termino con una reflexión. La digitalización del sector energético ha multiplicado la superficie de ataque. Cada cliente es un vector potencial. Mi experiencia me dice que la concienciación tarda en calar: el próximo 11S, como escribí en El quinto elemento, empezará con un clic. De momento, Origin Energy tiene doce días para decidir si negocia o de deja que dos millones de australianos se enteren de que sus datos están a la venta.
