Movistar y O2 alertan a sus clientes de un posible hackeo y robo de datos

12 de Noviembre de 2021

“Los usuarios de Movistar y O2 han empezado a recibir SMS y correos electrónicos provenientes de los operadores. Este tipo de mensajes suelen usarse normalmente como phishing, alertando al usuario de que tiene que entrar en un enlace concreto para acceder a su cuente o de que falta por hacer un pago. En este caso, por desgracia, se trata de mensajes SMS y correo electrónico reales.

Han conseguido acceder a datos personales

En el SMS, Movistar afirma que han detectado y bloqueado un acceso irregulara sus sistemas desde direcciones IP sospechosas. Con ese acceso, los supuestos atacantes habrían accedido a datos básicos y de identificación de los usuarios, así como datos de contacto, historial de pedidos e información sobre los productos y servicios contratados.

Contenido SMS que están enviando:

”Hola, esto es IMPORTANTE. Hemos
detectado (y ya ha sido bloqueado)
un acceso irregular a nuestros
sistemas desde IPs sospechosas,
que ha permitido acceder a tus datos
básicos y de identificación, datos
de contacto, así como información
sobre los productos y servicios
contratados. No hay evidencias
de que dichos datos hayan sido
explotados y no ha habido acceso
a datos de facturación, ni al detalle
de llamadas, ni a contraseñas de
acceso. Si quieres más información
puedes llamarnos al 1004.”

La compañía afirma que no hay evidencias de que esos datos hayan sido explotados. Entre los datos que no han sido explotados se encontrarían los datos de facturación, listado de llamadas, cuenta bancaria o email y contraseñas de acceso. O2 ha comunicado el fallo de seguridaddirectamente por correo electrónico a los clientes, y Movistar está haciendo también lo propio. En ambos se recoge la misma información.

Tanto Movistar como O2 afirman que ya han aplicado las medidas de mitigaciónnecesarias para bloquear el acceso a la información. Por desgracia, no sabemos la cantidad de usuarios afectados, pero es probable que haya una gran cantidad de usuarios cuyos datos hayan sido accedidos. El operador ya ha puesto en conocimiento de la Agencia Española de Protección de Datos (AEPD) la filtración de datos para que investiguen. El RGPD exige que se comunique a las agencias de protección de datos este tipo de filtraciones menos de 72 horas después de conocerlas.