Hackeo a Nova Scotia Power: 915.000 clientes expuestos por un solo clic

En abril de 2025, un solo empleado de Nova Scotia Power hizo clic en una ventana emergente maliciosa. Ese único momento fue suficiente para exponer los datos personales de aproximadamente 915.000 clientes actuales y anteriores, según las conclusiones del Comisionado de Privacidad de Canadá. La brecha es un recordatorio contundente de que incluso los grandes proveedores de infraestructura crítica no son inmunes a los ataques de ingeniería social, y de que sus datos personales son tan seguros como el eslabón más débil de cualquier organización que los custodie.

Qué datos quedaron expuestos

El alcance de la información comprometida en esta brecha es significativo. Los clientes afectados podrían haber tenido los siguientes datos expuestos:

  • Nombres completos
  • Números de teléfono
  • Direcciones de correo electrónico
  • Direcciones postales
  • Fechas de nacimiento
  • Historial de cuentas de clientes, incluidos registros de pagos, historial de facturación e historial crediticio
  • Números de cuentas bancarias
  • Números de licencia de conducir
  • Números de Seguro Social (SIN)

No se trata de una filtración de datos menor. Una combinación de números de cuentas bancarias, SIN y números de licencia de conducir proporciona a los actores maliciosos prácticamente todo lo que necesitan para cometer fraude de identidad o abrir cuentas fraudulentas a nombre de otra persona. El hecho de que estos datos estuvieran almacenados en los sistemas de una empresa de servicios públicos —una compañía con la que la mayoría de las personas interactúa simplemente para mantener la luz encendida— pone de relieve la amplitud con la que nuestra información sensible se distribuye entre organizaciones en las que raramente pensamos.

Cómo una ventana emergente derribó las defensas de una empresa eléctrica

El método de ataque utilizado no fue un malware sofisticado desplegado por un Estado nación. Fue una ventana emergente maliciosa, el tipo de cosa con la que la mayoría de nosotros nos hemos encontrado mientras navegamos por internet. Un empleado hizo clic en ella, y eso fue suficiente para abrir una puerta a los sistemas de Nova Scotia Power.

Esto es ingeniería social en su forma más básica. Los atacantes no siempre necesitan atravesar cortafuegos ni eludir cifrados. Con frecuencia, el camino más fácil es el humano. Una ventana emergente convincente, un falso formulario de inicio de sesión o un correo de phishing bien elaborado pueden eludir capas de seguridad técnica en cuestión de segundos.

Las grandes organizaciones invierten considerablemente en seguridad perimetral, pero el comportamiento del usuario sigue siendo una de las variables más difíciles de controlar. Ningún departamento de TI, independientemente de su presupuesto o experiencia, puede garantizar que cada empleado tomará la decisión correcta en todo momento. Esto no es una crítica al personal de Nova Scotia Power; es simplemente la realidad de cómo funcionan estos ataques. Están diseñados para ser convincentes y están diseñados para explotar el breve instante en que alguien baja la guardia.

Qué significa esto para usted

Si es cliente actual o anterior de Nova Scotia Power, debería tomar en serio los siguientes pasos:

Controle sus cuentas. Revise sus estados de cuenta bancarios e informes crediticios en busca de cualquier actividad inusual. En Canadá, puede solicitar un informe crediticio gratuito a Equifax y TransUnion.

Esté atento a intentos de phishing. Con su dirección de correo electrónico, nombre e historial de cuenta potencialmente en manos de los atacantes, podría convertirse en objetivo de correos de phishing altamente personalizados. Sea escéptico ante cualquier mensaje que le pida hacer clic en un enlace o proporcionar información, aunque parezca provenir de una fuente de confianza.

Active la autenticación multifactor (MFA) en todos los lugares donde pueda. La MFA añade una segunda capa de verificación a sus cuentas, lo que dificulta significativamente el acceso a ellas incluso si alguien tiene su contraseña.

Considere un bloqueo de crédito. Si le preocupa el fraude de identidad, un bloqueo de crédito con las agencias de crédito canadienses puede impedir que se abran nuevas cuentas a su nombre sin su autorización expresa.

Practique la minimización de datos en el futuro. Piense detenidamente qué información personal comparte con cualquier servicio y proporcione solo lo estrictamente necesario.

También vale la pena reflexionar sobre un punto más amplio: usted no puede controlar cómo cada organización almacena o protege sus datos. Los proveedores de servicios públicos, las aseguradoras, los comercios minoristas y los proveedores de atención médica conservan fragmentos de su perfil personal. Cuando uno de ellos sufre una brecha, las consecuencias recaen sobre usted. Por eso importa reforzar sus propias protecciones de privacidad, no porque eviten que una empresa sea hackeada, sino porque reducir su exposición general limita el daño cuando las brechas ocurren.

Tomar en serio su propia privacidad

La brecha de Nova Scotia Power es una buena oportunidad para auditar sus propios hábitos digitales. Usar una VPN como hide.me cifra su tráfico de internet y oculta su dirección IP, lo que ayuda a proteger su actividad en línea de ser observada o interceptada, especialmente en redes públicas o no seguras donde las ventanas emergentes maliciosas y las redirecciones de phishing son más comunes. No impedirá que una empresa de servicios públicos sea hackeada, pero es una pieza práctica dentro de una estrategia de privacidad más amplia.

Combine una VPN con contraseñas seguras y únicas para cada cuenta, MFA donde sea posible, y un escepticismo saludable ante los mensajes no solicitados, y contará con una defensa significativa contra muchos de los riesgos derivados de brechas como esta.

Las empresas seguirán siendo atacadas. Los empleados harán clic en cosas equivocadas de vez en cuando. La pregunta es qué tan preparado está usted cuando eso suceda.