Un ciberataque frena los cobros domiciliados de GSW
La noche del 28 de junio de 2026 se conoció el ciberataque contra Gemeinschaftsstadtwerke Kamen, Bönen, Bergkamen. Como la empresa desconectó sus sistemas informáticos de forma preventiva, no pudo cobrar por domiciliación los anticipos de los clientes el 1 de julio, según ZfK. Más tarde, GSW también corrigió su evaluación sobre los datos de clientes afectados.
Lo esencial en breve
- Según la empresa, el suministro no se vio afectado. Aun así, según ZfK, los anticipos de los clientes no pudieron cobrarse por domiciliación el 1 de julio y, a principios de julio, seguían pendientes los anticipos a los clientes EEG.
- En la recuperación primó la cautela sobre la rapidez. Las aplicaciones se reconectaron gradualmente solo después de revisar todos los sistemas, servidores y accesos de usuario. Además, se aplicó una segmentación de red más detallada.
- La primera evaluación sobre los datos de clientes no se sostuvo. Según los nuevos hallazgos de la investigación, podrían estar afectadas copias de seguridad de 2019 y, en parte, de 2017. Según GSW, los datos de clientes estuvieron brevemente en la darknet.
Relacionado: Black October: muchos ataques llevaban meses en curso
La situación de GSW
Alexander Loipfinger dirige GSW Gemeinschaftsstadtwerke Kamen, Bönen, Bergkamen. La actividad de la empresa suministradora tiene una vertiente técnica y otra comercial. La técnica es el suministro en sí. La comercial incluye los canales digitales para clientes, desde el portal de clientes en línea hasta la aplicación «Meine GSW», así como los pagos.
Los pagos circulan en ambas direcciones. La suministradora cobra a sus clientes anticipos a cuenta de la facturación posterior. También paga anticipos a los clientes EEG, que vierten electricidad a la red y reciben una remuneración en virtud de la Ley alemana de Energías Renovables. Según la empresa, la seguridad del suministro no se vio afectada en ningún momento por el ciberataque. Sin embargo, el caso muestra que un suministro garantizado no excluye limitaciones importantes en los procesos de pago de una suministradora.
¿Qué es la segmentación de red? La segmentación divide la red de una empresa en áreas separadas, entre las que el tráfico de datos solo circula según reglas establecidas. Así, un atacante que accede a un área no puede alcanzar fácilmente otros sistemas. Durante la recuperación, GSW introdujo una segmentación más detallada como medida adicional de seguridad.
Cronología del ataque
La noche del 28 de junio de 2026 se conoció el ciberataque contra GSW. La empresa convocó de inmediato a su equipo de crisis, desconectó preventivamente los sistemas informáticos e informó a la Oficina Regional de Investigación Criminal y a las autoridades competentes.
Pocos días después, los clientes notaron los efectos de la desconexión. Según ZfK, los anticipos habituales de los clientes no pudieron cobrarse por domiciliación el 1 de julio de 2026 como de costumbre debido a la desconexión preventiva de los sistemas y aplicaciones internos. Según la misma información, al 2 de julio también estaban pendientes los pagos anticipados a los clientes EEG.
En las semanas siguientes, GSW recuperó sus sistemas gradualmente. El 16 de julio, el portal de clientes en línea y otros canales digitales para clientes volvían a estar disponibles.
Decisiones del equipo de crisis
La desconexión preventiva inmediatamente después de conocerse el ataque fue la primera decisión clave. Después tocó definir el camino de vuelta. Según el director general Alexander Loipfinger, GSW priorizó la cautela sobre la rapidez durante la recuperación.
En coordinación con expertos en seguridad informática y las autoridades investigadoras, la empresa revisó primero todos los sistemas, servidores y accesos de usuario. Solo después, GSW reconectó gradualmente los sistemas y aplicaciones. Como medida de seguridad adicional, introdujo una segmentación de red más detallada, dividiéndola en áreas más aisladas entre sí. La recuperación supuso, por tanto, también una reestructuración de la arquitectura de red.
Resultado de la recuperación y del análisis forense
En agosto se reanudaron los procesos de pago. Según declaró una portavoz de la empresa a Energie & Management, GSW pudo volver a cobrar los anticipos de los clientes que vencían el 1 de agosto de 2026. Según Antenne Unna, desde el 6 de agosto las cajas de las piscinas de GSW también volvieron a permitir pagos sin efectivo.
GSW tuvo que corregir su evaluación sobre los datos de clientes. Las investigaciones forenses realizadas hasta entonces, es decir, el análisis técnico de rastros en los sistemas, no habían detectado datos de clientes afectados. Sin embargo, según los nuevos hallazgos de la investigación, podrían estar afectadas copias de seguridad antiguas de 2019 y, en parte, de 2017. Según la empresa, datos de clientes obtenidos en el ataque estuvieron disponibles durante un breve periodo en la darknet, una parte de internet accesible solo mediante servicios de anonimización.
En el mismo comunicado, GSW declaró que en ese momento no había indicios de que los datos de clientes afectados se hubieran publicado, compartido o utilizado de forma indebida. Sus clientes recibieron recomendaciones concretas sobre los movimientos de sus cuentas, el contacto con su banco, las solicitudes sospechosas y las contraseñas.
Lecciones para los CISO de la región DACH
Del caso de GSW se desprenden varias lecciones para los responsables de seguridad.
- Los planes de emergencia de las suministradoras necesitan escenarios específicos para los procesos de pago. Un suministro garantizado no excluye limitaciones importantes en los cobros domiciliados, los pagos salientes y las cajas.
- La desconexión de la red debe figurar como opción preparada en el plan de crisis, junto con una relación de los procesos de negocio que dependen de los sistemas desconectados. En GSW, la desconexión de los sistemas y aplicaciones internos afectó directamente al cobro por domiciliación.
- Una recuperación por fases requiere un orden de revisión establecido. GSW revisó los sistemas, servidores y accesos de usuario antes de reconectarlos. También aprovechó el reinicio para aplicar una segmentación más detallada.
- Las copias de seguridad deben figurar íntegramente en el inventario de datos, incluidos los plazos de conservación y el plan de eliminación. En GSW, los nuevos hallazgos de la investigación añadieron como posiblemente afectadas copias de 2019 y, en parte, de 2017.
- Las primeras declaraciones sobre filtraciones de datos deben identificarse como provisionales. GSW tuvo que corregir más tarde el resultado de sus investigaciones forenses anteriores y acompañó la corrección de recomendaciones para sus clientes.
Preguntas frecuentes
Cada pregunta está cerrada. Con un toque se desbloquea la respuesta.
¿Qué recomienda GSW a sus clientes tras el incidente de datos?
GSW recomendó revisar periódicamente los movimientos de las cuentas y contactar con el banco ante cualquier anomalía. Los clientes no deben revelar información sensible a raíz de mensajes o llamadas recibidos. GSW también desaconsejó reutilizar contraseñas.
¿Qué servicios en línea de GSW volvieron a estar disponibles el 16 de julio?
En esa fecha volvían a estar disponibles el portal de clientes en línea, las funciones de autoservicio de la aplicación «Meine GSW» y el portal para solicitudes de conexión a la red. Como todos los sistemas, estos servicios se reconectaron gradualmente solo después de revisar todos los sistemas, servidores y accesos de usuario.
¿Qué cambió el 6 de agosto en las piscinas de GSW?
Según Antenne Unna, desde ese día las cajas de las piscinas volvieron a permitir pagos sin efectivo. También se pudieron volver a comprar y canjear vales.
Fuente de la imagen: generada con IA (noviembre de 2026)
Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.
