El pasado 12 de enero de 2026, la eléctrica española Endesa Energía, junto con su filial Energía XXI, confirmó que ha sufrido un grave ciberataque que ha resultado en la extracción de datos personales de sus clientes
Según la propia compañía, un actor malicioso logró un acceso no autorizado e ilegítimo a su plataforma comercial, superando las medidas de seguridad implementadas y accediendo a información sensible que gestiona la empresa.
Esta brecha permitió que los atacantes exfiltraran datos vinculados a contratos de luz y gas, incluyendo:
- Nombres y apellidos
- Documentos de identidad (DNI)
- Información de contacto
- Detalles de los contratos
- Información financiera como números de cuenta (IBAN)
Endesa ha señalado que las contraseñas de acceso no se han visto comprometidas, aunque otros datos relevantes sí han sido extraídos.
La compañía no ha precisado de forma oficial cuántos clientes han sido afectados. Sin embargo, al tratarse de la mayor eléctrica de España con más de 10 millones de clientes, el potencial alcance de la filtración es especialmente preocupante.
Además, en foros de la “dark web” hay reportes no verificados que sugieren que la base de datos podría alcanzar más de 20 millones de registros, aunque esto no ha sido confirmado oficialmente por Endesa.
Tras detectar el incidente, Endesa activó de inmediato sus protocolos de respuesta ante incidentes:
- Bloqueo de accesos comprometidos
- Análisis forense de los registros de sistema
- Notificación a clientes afectados por correo electrónico
- Comunicación del caso a autoridades como la Agencia Española de Protección de Datos (AEPD)
La empresa asegura que no hay indicios de que los datos hayan sido utilizados de forma fraudulenta hasta ahora, aunque no puede descartarse el riesgo de que estos se empleen luego para suplantación de identidad o campañas de phishing.
Aunque no se ha detectado un uso indebido de la información, la sensibilidad de los datos expuestos implica varios riesgos potenciales:
- Suplantación de identidad
- Fraudes financieros
- Phishing (correos o mensajes falsos)
- Intentos de acceso a otros servicios vinculados al usuario
Endesa ha habilitado un teléfono de ayuda para solventar dudas, el 800760366 para los clientes de Endesa Energía, y 800760250 para los de Energía XXI.
Si eres cliente de Endesa o crees que tus datos pueden estar implicados es recomendable:
- Cambiar la contraseña lo antes posible por una NUEVA (sin reutilizar) y que cumpla con la complejidad que indique la página.
- Si tiene opción de método de doble factor, activarlo y seguir los pasos.
- Revisar los datos del cliente que sean correctos, en caso de ser antiguo cliente, tratar de dar de baja la cuenta, eliminar los datos o en su defecto actualizar los datos por datos que sean nulos siempre y cuando este lo permita (ejemplo: DNI 12345678Y)
- Si la contraseña que tenias es reutilizada en varias cuentas, cambiarlas en todas, principalmente y ante todo si es la de la cuenta de correo
- Revisar la cuenta bancaria durante un periodo de tiempo para comprobar que no se ha emitido algún cargo desconocido
- Revisar la cuenta de correo para comprobar que no nos traten de enviar un mail de Phishing
Este ataque pone en evidencia la importancia de implementar políticas de ciberseguridad eficaces en la empresa, así como el papel que juega la Agencia de Protección de Datos en este tipo de brechas. En Forlopd mantenemos nuestro compromiso con la protección de la privacidad de la información tanto para empresas, profesionales o entidades. Puedes solicitarnos más información si necesitas mejorar la seguridad de tu negocio y nuestros especialistas te guiarán.
