Por Canuto  

Una publicación atribuida al actor 888 afirma haber accedido a bases de datos de BENY New Energy con información de usuarios y referencias a plataformas de carga de vehículos eléctricos, firmware y monitoreo de dispositivos. La evidencia no ha sido verificada, pero la posible exposición plantea interrogantes sobre la seguridad de equipos conectados a la red eléctrica.
***

  • La denuncia reclama datos de aproximadamente 13.600 usuarios y más de 12 bases de datos vinculadas a BENY New Energy.
  • Las capturas mostrarían una sesión aparentemente activa contra un servidor de base de datos accesible desde internet.
  • La publicación no demuestra que los atacantes controlaran el firmware, los comandos de dispositivos o una flota desplegada.

 

Una publicación en un foro de la dark web atribuye a BENY New Energy una presunta brecha de seguridad con alcance sobre datos de usuarios y plataformas de gestión de equipos energéticos. La reclamación señala a la empresa china de hardware para energía e IoT, conocida por productos como cargadores de vehículos eléctricos, inversores solares y sistemas de almacenamiento en baterías.

El actor que aparece asociado a la publicación utiliza el nombre 888. La entrada reclama aproximadamente 13.600 usuarios y muestra capturas de pantalla que, según la descripción presentada por Dark Web Informer, corresponderían a una sesión de base de datos aparentemente activa.

La alerta no se limita a una posible exposición de nombres, correos electrónicos o teléfonos. El elemento más delicado es la referencia a sistemas que podrían participar en la operación de cargadores EV, la distribución de firmware y el monitoreo de dispositivos conectados.

Dark Web Informer reportó que las capturas ofrecen una evidencia más sólida que una simple lista de campos, aunque también advirtió que no reproduciría la dirección del servidor visible en el material. La fuente presentó el caso como una reclamación no verificada y no como una intrusión confirmada.

Qué afirma la publicación sobre BENY

La publicación identifica como objetivo a BENY New Energy, con el dominio Beny.com, y ubica a la compañía en China. El sector señalado es el de hardware de energía e IoT, una combinación que conecta infraestructura física con servicios digitales de administración.

El listado aparece bajo un esquema de puntos necesarios para desbloquear el contenido completo. La descarga estaría protegida por un muro de pago, una práctica habitual en mercados clandestinos que impide revisar de forma abierta todos los archivos supuestamente sustraídos.

El actor 888 reclama acceso a más de 12 bases de datos. Entre las estructuras mencionadas figuran sistemas relacionados con la gestión de carga de vehículos eléctricos basada en el protocolo OCPP, además de una plataforma de gestión de firmware.

También se menciona una plataforma de monitoreo de dispositivos. Los nombres de tablas descritos incluyen sesiones de carga, pedidos, diagnósticos, registros de comunicación, plantillas de certificados y datos asociados con dispositivos de baterías e inversores.

La muestra incluiría cuentas de administrador y datos de roles y permisos. La descripción también alude a credenciales de administración de nivel raíz, un detalle que podría aumentar el valor de la información para un comprador competente, aunque no prueba por sí mismo un control operativo sobre los equipos.

Datos de usuarios y naturaleza de la evidencia

Entre los datos supuestamente incluidos aparecen direcciones de correo electrónico, nombres de usuario, apodos y números de teléfono móvil. La lista también contempla direcciones físicas, género, identificadores de organización y otra información asociada con las cuentas.

Las contraseñas estarían almacenadas mediante Argon2id. Este algoritmo de derivación está diseñado para elevar el costo computacional de los intentos de recuperación, por lo que una exposición de hashes no equivale automáticamente a contraseñas utilizables.

La descripción indica que los parámetros empleados serían inferiores a las mejores prácticas actuales. Aun así, el uso de Argon2id haría impráctica una recuperación masiva de contraseñas, según la evaluación incluida en la denuncia.

Las capturas mostrarían una sesión de base de datos aparentemente en vivo, junto con la estructura de los esquemas y muestras de registros de la tabla de usuarios. Este tipo de evidencia puede sugerir visibilidad real sobre un entorno, pero no permite confirmar por sí sola el origen del acceso ni su duración.

Los registros de muestra describirían una base de clientes internacional. La presencia de dominios de correo de Europa, Oriente Medio y América Latina indicaría que la población afectada, si la denuncia fuera correcta, no estaría limitada al mercado doméstico de la compañía.

El riesgo para cargadores, firmware y equipos conectados

La importancia del caso está en la posible relación entre las bases de datos y dispositivos físicos desplegados. Un sistema de carga EV, por ejemplo, puede registrar sesiones, pedidos, diagnósticos y comunicaciones entre los cargadores y la infraestructura central del proveedor.

El protocolo OCPP permite coordinar distintos aspectos de la comunicación entre estaciones de carga y plataformas de gestión. Sin embargo, la existencia de una base de datos con referencias a OCPP no demuestra que una persona no autorizada pudiera enviar comandos a los cargadores.

La gestión de firmware representa otra superficie sensible. Una plataforma de este tipo puede organizar versiones y dispositivos, pero la publicación no establece que los mecanismos de firma, distribución o instalación del firmware fueran accesibles para el supuesto intruso.

La misma cautela aplica a los certificados y al material criptográfico. Que una tabla tenga nombres vinculados con plantillas de certificados o comunicaciones no prueba que las claves privadas fueran legibles, exportables o utilizables fuera del sistema.

El peor escenario teórico sería más grave que una filtración convencional de datos personales. Si los canales de comando y administración estuvieran comprometidos, un atacante podría intentar manipular hardware conectado a gran escala, aunque la publicación no demuestra que ese escenario ocurriera.

Lo que todavía no está demostrado

La denuncia demuestra, según el material descrito, la visibilidad de una base de datos y de varias estructuras asociadas. No demuestra que el actor haya obtenido control de una flota de dispositivos, alterado firmware o intervenido operaciones de carga.

Tampoco existe confirmación pública de que las credenciales administrativas mostradas sigan activas. Una captura puede registrar un estado temporal, una cuenta de prueba, permisos limitados o información obtenida antes de que el proveedor aplicara cambios.

La referencia a un servidor directamente direccionable desde internet sí eleva la preocupación sobre la configuración de la infraestructura. El acceso público a un servicio de datos no implica necesariamente una toma de control, pero amplía las oportunidades para intentos de autenticación y explotación.

Los propietarios de equipos BENY no pueden resolver directamente una eventual exposición de las plataformas internas. La responsabilidad de confirmar el alcance recaería en el proveedor, que debería revisar los accesos, las cuentas administrativas, los registros y los caminos de gestión de dispositivos y firmware.

Hasta que exista una respuesta técnica de BENY New Energy o una verificación independiente, el caso debe tratarse como una alerta pendiente. La prudencia exige separar los datos observados en las capturas de las conclusiones más severas sobre control de infraestructura energética.

Por qué el caso importa al ecosistema energético

Los cargadores de vehículos eléctricos, los inversores solares y las baterías conectadas forman parte de una tendencia de digitalización de la energía. Estos productos combinan hardware físico, conectividad, software remoto y servicios de administración centralizada.

Esa arquitectura ofrece ventajas operativas, como supervisión a distancia y actualización de dispositivos. También concentra riesgos cuando una misma plataforma administra identidades, certificados, comunicaciones, diagnósticos y órdenes relacionadas con equipos instalados en distintos países.

Una brecha de datos personales puede causar fraude, suplantación o campañas de ingeniería social. Una intrusión sobre los sistemas de administración podría tener consecuencias distintas, porque involucraría la disponibilidad, la integridad o la confiabilidad de equipos físicos.

La denuncia no confirma que se hayan producido esos efectos. Su relevancia surge de que las estructuras mencionadas parecen corresponder a los componentes que conectan la nube de un proveedor con dispositivos que participan en la gestión de energía.

El episodio también muestra la importancia de las investigaciones responsables. La evidencia debe conservarse sin exponer direcciones de servidores, credenciales, información personal ni instrucciones que faciliten ataques contra infraestructura real.

Por ahora, la presunta brecha de BENY New Energy permanece sin verificar. La combinación de una sesión de base de datos aparentemente activa, datos administrativos y referencias a plataformas energéticas justifica seguimiento, pero no permite afirmar que los equipos desplegados hayan sido manipulados.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados