EPM confirmó que SOLATI S.A.S., una de sus empresas contratistas, sufrió un incidente de ciberseguridad perpetrado por una organización criminal de alcance internacional. El ataque comprometió información relacionada con informes especializados de cartera de EPM y de la Central Hidroeléctrica de Caldas (CHEC).

Empresas Públicas de Medellín (EPM) informó este viernes 29 de mayo que SOLATI S.A.S., empresa contratista encargada de procesos relacionados con gestión de cartera, fue víctima de un incidente de ciberseguridad que comprometió información de dos de sus clientes: EPM y la Central Hidroeléctrica de Caldas (CHEC).

Según el comunicado emitido por la compañía contratista, el ataque fue ejecutado por “una organización criminal de alcance internacional” y estuvo dirigido específicamente contra un servicio complementario de informes especializados asociados al CRM — software de gestión de relaciones con el cliente— de cobranzas.

SOLATI, empresa colombiana de desarrollo de software, aclaró que el acceso no autorizado “se limitó exclusivamente” a ese servicio y que ni EPM ni CHEC sufrieron vulneraciones directas en sus sistemas informáticos. Sin embargo, reconoció que parte de la información extraída comenzó a ser divulgada públicamente en las últimas horas.

“La organización criminal ha divulgado parte de la información extraída a través de sus canales”, señaló la empresa, que además indicó que los datos comprometidos corresponden a información analítica de cartera y no a datos personales sensibles.

EPM, por su parte, reiteró que su infraestructura tecnológica, aplicativos, plataformas y sistemas internos continúan operando con normalidad y no fueron afectados por el ataque. La compañía explicó que activó de inmediato sus protocolos internos de seguimiento y gestión del riesgo en coordinación con el contratista para verificar el alcance del incidente.

Ante la divulgación de información en redes sociales atribuidas al grupo atacante, EPM a pide a la ciudadanía abstenerse de compartir información filtrada y remitirse únicamente a los canales oficiales.

“No negociamos con el crimen”, enfatizó SOLATI en su pronunciamiento, en el que rechazó cualquier intento de extorsión o divulgación ilícita de información y aseguró que ya presentó las denuncias correspondientes ante las autoridades competentes.

La empresa también informó que, tras detectar el incidente, activó controles de seguridad digital, notificó a los clientes afectados y comenzó un proceso de fortalecimiento de sus medidas de protección informática.

El caso revive el recuerdo del grave ciberataque que sufrió EPM en diciembre de 2022, cuando el grupo de BlackCat Ransomware comprometió los sistemas digitales de la empresa y dejó sin funcionamiento múltiples servicios tecnológicos durante semanas. Ese episodio obligó a la compañía a operar bajo contingencia y fue considerado uno de los ataques informáticos más severos registrados contra una empresa pública en Colombia.

Aunque en esta ocasión el ataque no afectó directamente los sistemas de EPM, expertos en ciberseguridad advierten que los contratistas y proveedores tecnológicos se han convertido en uno de los puntos más vulnerables para las grandes organizaciones. Los atacantes suelen buscar acceso indirecto a información sensible a través de empresas aliadas con menores niveles de protección digital.

El incidente ocurre además en un contexto de aumento sostenido de ataques cibernéticos en Colombia. En los últimos años, entidades estatales, empresas privadas, aerolíneas y sistemas financieros han reportado intentos masivos de intrusión, filtraciones de información y campañas de extorsión digital asociadas a grupos internacionales de ransomware, un tipo de software malicioso (malware) que secuestra los datos o dispositivos de una víctima, como en el caso de EPM en el que le robaron varias teras de información para extorsionar a la empresa.

SOLATI aseguró que continuará colaborando con las autoridades y mantendrá informada a la opinión pública sobre los avances de la investigación. Mientras tanto, EPM insistió en que cualquier comunicación relacionada con cartera o pagos debe verificarse únicamente a través de sus canales oficiales.