La brecha de ENGIE no se llevó números de tarjeta. Se llevó el único número que hace creíble una llamada fraudulenta.

ENGIE lo ha confirmado: unos atacantes llegaron a una herramienta que algunos de sus socios usan para comercializar ofertas de energía, sacaron datos de clientes y desde entonces han quedado fuera. La empresa sostiene que sus propios sistemas informáticos internos nunca estuvieron comprometidos. No ha dicho a cuántas personas afecta, no ha nombrado ni al socio ni a la herramienta, y la exposición se limita a clientes en Francia. Algunos recibieron el correo de notificación ya a principios de octubre, bastante antes de que el caso se contara de forma más amplia.

Lo que salió: nombre y apellidos, dirección postal, correo electrónico, teléfono, identificador de cliente, número de contrato y el PDL de electricidad o el PCE de gas. Ningún dato bancario, algo que ENGIE puso por delante con toda lógica.

Ese último dato merece un momento. Un PDL es la referencia del punto exacto por el que la electricidad entra en tu casa. Nadie se lo sabe de memoria y la mayoría nunca ha ido a buscarlo, y justo por eso quien te lo recita, con tu número de contrato a continuación, suena a compañía eléctrica y no a un desconocido con una hoja de cálculo. Espera llamadas y correos sobre una revisión de tarifa, la devolución de un pago de más o una cita urgente para el contador, y espera que empiecen con detalles que solo ENGIE debería conocer.

La regla que sobrevive a todo esto es aburrida y sin excepciones: nadie legítimo necesita tus datos bancarios ni un pago durante una llamada que tú no has hecho, por mucho que ya sepa de ti. Cuelga, busca el número impreso en una factura, llama a ese. Y si quieres ver cuáles de tus direcciones de correo circulan ya en listas de este tipo, la comprobación de Privacidad y cuentas de Tendvane busca cada una en filtraciones conocidas.