Un nuevo aviso de ciberseguridad pone el foco sobre uno de los conjuntos de datos más sensibles relacionados con los suministros energéticos en España. Un grupo de hackers habría obtenido más de 40 millones de registros vinculados a puntos de suministro de electricidad y gas, con información que podría incluir direcciones, códigos CUPS, datos del contrato, contadores y cifras de consumo. La alerta fue detectada durante la jornada de ayer, domingo 6 de septiembre, y, por el momento, la supuesta filtración no ha sido verificada. El aviso procede de un seguimiento de actividad relacionada con amenazas y el propio incidente figura como pendiente de confirmación.
La magnitud de la cifra reclamada, sin embargo, ha puesto el foco sobre el Sistema de Información de Puntos de Suministro, una infraestructura que contiene información técnica, comercial y de consumo asociada a los puntos de suministro energético españoles. Datos robados Según la información publicada por el actor en cuestión, la supuesta base de datos contendría más de 40 millones de registros relacionados con CUPS, el código que identifica de manera única cada punto de suministro. El problema es que un registro de este tipo puede contener mucha más información que un simple identificador. El SIPS reúne datos técnicos, de consumo y comerciales de los puntos de suministro de electricidad y gas natural.
Hackmanac@H4ckmanac🚨Cyber Alert ‼️🇪🇸Spain – 𝗧𝗵𝗿𝗲𝗮𝘁 𝗔𝗰𝘁𝗼𝗿 𝗖𝗹𝗮𝗶𝗺𝘀 𝟰𝟬 𝗠𝗶𝗹𝗹𝗶𝗼𝗻 𝗦𝗽𝗮𝗻𝗶𝘀𝗵 𝗘𝗻𝗲𝗿𝗴𝘆 𝗦𝘂𝗽𝗽𝗹𝘆 𝗥𝗲𝗰𝗼𝗿𝗱𝘀 𝗦𝗼𝘂𝗿𝗰𝗲𝗱 𝗳𝗿𝗼𝗺 𝗦𝗜𝗣𝗦 The threat actor spain claims to possess a large Spanish energy-sector database allegedly sourced from https://t.co/EKUDaRzKV2 07 de septiembre, 2026 • 10:45 37 4 Entre los datos que se mencionan en la reclamación aparecen: - Códigos CUPS asociados a los puntos de suministro. - Direcciones de los puntos de suministro. - Información relacionada con clientes y titulares. - Datos contractuales. - Información sobre contadores y equipos de medida. - Cifras de consumo energético. - Información técnica vinculada a los suministros de electricidad y gas. La importancia de estos datos no es ninguna tontería, ya que, cuando están vinculados a personas físicas identificables, determinados datos del SIPS, como la información individualizada de consumo junto al CUPS, tienen la consideración de datos personales y están sujetos a la normativa de protección de datos. Además, la regulación actual establece qué información debe figurar en este sistema. El Real Decreto 88/2026, aprobado en febrero, contempla, entre otros elementos, el CUPS, la empresa distribuidora y la ubicación del punto de suministro, incluyendo dirección, referencia catastral y, en determinados casos, coordenadas geográficas.
El SIPS es privado Precisamente por la sensibilidad de la información, no cualquier persona o empresa puede acceder libremente al SIPS. El organismo pone estos datos a disposición de comercializadoras autorizadas que cumplen los requisitos establecidos por la normativa. Los usuarios del sistema deben garantizar además la confidencialidad de la información y cumplir las obligaciones relacionadas con la protección de datos. La CNMC también supervisa las descargas y el uso que se hace de la información, pudiendo actuar ante indicios de utilización fraudulenta.
Por eso, si la reclamación terminara confirmándose, habría que determinar cómo se habría producido el acceso y qué conjunto concreto de información habría sido obtenido. Hasta el momento, el aviso procede de un actor de amenazas que afirma disponer de la información. Un seguimiento independiente de actividad relacionada con filtraciones recoge la reclamación de una supuesta exposición de más de 40 millones de CUPS, pero también clasifica el incidente con un nivel de confianza limitado y no lo confirma de forma definitiva. Esto es especialmente importante porque en el mundo de la ciberseguridad una reclamación de un ciberdelincuente no equivale automáticamente a una brecha de seguridad confirmada.
Los actores de amenazas pueden exagerar el volumen de una base de datos, reutilizar información procedente de filtraciones anteriores o atribuirse accesos que nunca llegaron a producirse. De momento, por tanto, no se puede afirmar que 40 millones de clientes españoles hayan sufrido el robo de sus datos. Lo que existe es una reclamación de acceso a información relacionada con el sistema energético español que permanece pendiente de verificación.