Multa del regulador británico a South Staffordshire Water tras una filtración masiva de datos personales

La empresa británica de suministro de agua South Staffordshire Water sufrió un incidente de ciberseguridad cuyo origen se remonta a septiembre de 2020, cuando atacantes lograron acceder a sus sistemas internos mediante una campaña de phishing dirigida a empleados. Según la investigación posterior de la Information Commissioner’s Office (ICO) del Reino Unido, los intrusos permanecieron dentro de la red corporativa durante un largo periodo de tiempo sin ser detectados, aprovechando vulnerabilidades técnicas y sistemas desactualizados. El incidente no fue descubierto hasta julio de 2022, después de que la compañía detectara anomalías en el funcionamiento de sus sistemas informáticos. Posteriormente, se confirmó que los atacantes habían tenido acceso prolongado a información personal y corporativa sensible. 
El ataque comprometió los datos personales de aproximadamente 664.000 personas, entre clientes y empleados de la compañía. Entre la información expuesta se encontraban nombres completos, direcciones, números de teléfono, fechas de nacimiento, datos bancarios y determinada información laboral. Las autoridades británicas indicaron además que parte de esos datos terminaron siendo publicados en Internet por el grupo de ransomware vinculado al ataque. En sus comunicaciones oficiales, la empresa explicó que el incidente afectó principalmente a los sistemas de tecnología de la información corporativa y que el suministro de agua potable no sufrió interrupciones operativas.
En la actualidad, el caso se encuentra cerrado desde el punto de vista regulatorio tras la imposición de una sanción por parte de la ICO. La empresa afectada ha comunicado que colaboró con las autoridades durante todo el proceso de investigación y que implementó medidas adicionales de seguridad tras descubrir el incidente.