Ciberataque a Endesa: Miles de clientes expuestos a robo de datos personales y bancarios
Endesa Energía y Energía XXI, dos de las principales comercializadoras de electricidad en España, han sufrido un ciberataque que expone datos sensibles de miles de clientes, generando alarma en un contexto de creciente vulnerabilidad digital en el sector energético. Este incidente, detectado recientemente y notificado el 12 de enero de 2026, resalta la importancia de la ciberseguridad para proveedores esenciales, afectando potencialmente a más de 20 millones de personas según informes iniciales en foros de la dark web.
Detalles del ciberataque
Un actor malicioso accedió de forma no autorizada a la plataforma comercial de Endesa, extrayendo datos de contratos energéticos, nombres, apellidos, contactos, DNI y, en algunos casos, códigos IBAN de cuentas bancarias. La compañía precisa que las contraseñas de los usuarios no se vieron comprometidas, lo que limita parcialmente el impacto inmediato. El portal Escudo Digital reportó el 6 de enero que un pirata informático publicó en la dark web detalles del ataque, afirmando haber robado más de 1 TB de información de unos 20 millones de clientes.
Respuesta inmediata de Endesa
Endesa activó protocolos de seguridad al detectar el incidente: bloqueó accesos comprometidos, analizó registros de logs y notificó a los clientes afectados vía correo electrónico. La empresa ha informado a la Agencia Española de Protección de Datos (AEPD) y a las Fuerzas y Cuerpos de Seguridad del Estado, cumpliendo con la normativa vigente. Sus servicios operan con normalidad, y mantienen un monitoreo continuo para detectar actividades sospechosas, sin constancia hasta ahora de uso fraudulento de los datos. Han habilitado un teléfono de atención (800 760 366) y un canal de email para consultas.
Reacciones de consumidores y autoridades
La asociación Facua insta a los clientes a extremar precauciones y urge a la AEPD a abrir una investigación exhaustiva sobre la brecha. Recomiendan vigilancia ante posibles fraudes, suplantaciones de identidad, phishing o spam con los datos robados. Esta demanda subraya preocupaciones sobre la responsabilidad de las empresas en la protección de datos sensibles en el sector utilities.
Riesgos para los clientes y recomendaciones prácticas
Los datos expuestos podrían usarse para campañas de phishing, suplantación de identidad o publicaciones en foros digitales. Endesa aconseja prestar especial atención a comunicaciones sospechosas y verificar cualquier solicitud de información. Asociaciones como EKA-OCU y Facua urgen calma, pero recomiendan monitorear cuentas bancarias, cambiar contraseñas si es necesario (aunque no afectadas) y reportar actividades fraudulentas. No se ha cuantificado el número exacto de afectados, pero la escala sugiere un impacto masivo.
Lecciones y perspectivas futuras
Este ciberataque reabre el debate sobre la ciberseguridad en el sector energético, donde las infraestructuras críticas son blancos prioritarios. Endesa promete transparencia y medidas para prevenir recurrencias, pero el incidente evidencia vulnerabilidades persistentes pese a las defensas implementadas. Para los lectores, priorizar herramientas como autenticación de dos factores y alertas bancarias resulta clave en un panorama de amenazas crecientes, recordando que la protección de datos personales es responsabilidad compartida entre empresas y usuarios.