Qué pasó
Southern Company, una de las mayores eléctricas de Estados Unidos (más de 9 millones de clientes, dueña de Georgia Power, Alabama Power y Mississippi Power), está notificando a unos 400.000 clientes que un tercero no autorizado accedió a información de sus cuentas a través del portal online de clientes.
- Unas 300.000 cuentas son de Georgia Power (de 2,8 millones de clientes).
- Unas 100.000 son de Alabama Power (de 1,6 millones).
Georgia Power empezó a avisar a los clientes el 5 de octubre de 2026; según el diario AJC, el ataque al portal ocurrió la semana anterior.
Qué datos se expusieron
Según el aviso de la empresa, el atacante accedió a información "limitada": nombre, dirección postal, teléfono, correo electrónico, los cuatro últimos dígitos del número de Seguro Social (SSN) y otros datos básicos de la cuenta.
No se accedió a números de cuenta bancaria, de tarjeta de pago ni de licencia de conducir.
Respuesta
- La actividad se detuvo al detectarse y se avisó a la policía.
- La empresa dice no haber hallado acceso no autorizado en curso.
- Los afectados reciben aviso por correo electrónico y postal y un año de monitorización de crédito gratuita (Equifax, en el caso de Georgia Power).
- La empresa no ha dicho cómo entró el atacante ni quién es.
Por qué importa
Nadie tocó la red eléctrica, pero el caso muestra que los portales de clientes de servicios esenciales son un objetivo valioso. Con nombre, dirección, teléfono, correo y parte del SSN, los estafadores pueden montar phishing muy convincente, como falsas facturas de luz con amenaza de corte, un fraude ya común en EE. UU.
Los portales de clientes suelen sufrir credential stuffing (contraseñas filtradas de otros sitios) o fallos de autorización en la aplicación. La empresa no ha confirmado cuál fue el caso.
Qué deben hacer los clientes
- Desconfíe de mensajes sobre cortes de luz o pagos urgentes; confirme siempre por el número oficial.
- Cambie la contraseña del portal y no la reutilice en otros sitios.
- Active la verificación en dos pasos si está disponible y aproveche la monitorización de crédito.
Lecciones para empresas
- Proteja los portales con MFA, límite de intentos y detección de inicios de sesión anómalos.
- Pruebe el control de acceso en la API (un usuario no debe ver datos de otro).
- Muestre al cliente solo lo necesario: los dígitos del SSN rara vez deben verse en un portal.
Fuentes
- SecurityWeek (7/10/2026): https://www.securityweek.com/georgia-power-alabama-power-data-breach-hits-400000-accounts/
- AJC (6/10/2026): https://www.ajc.com/business/2026/10/georgia-power-data-breach/
- FOX 5 Atlanta (5/10/2026): https://www.fox5atlanta.com/news/georgia-power-notifies-300k-customers-about-suspicious-online-activity
¿Quiere proteger el portal de clientes de su empresa contra intrusiones? KGA IT ofrece una consulta gratuita: kga-it.com.