El reciente ciberataque a Endesa ha encendido todas las alarmas en el sector energético español. En enero de 2026, la compañía líder en electricidad y gas confirmó una intrusión no autorizada en sus sistemas que ha comprometido la información confidencial de miles de usuarios. Este incidente no solo afecta a la matriz, sino que también se extiende a su comercializadora de referencia en el mercado regulado, Energía XXI.
Para los profesionales de la ciberseguridad y los clientes afectados, entender el alcance de esta brecha es fundamental. La exposición de información sensible en manos de ciberdelincuentes abre la puerta a una nueva oleada de fraudes digitales cada vez más sofisticados. En este artículo analizamos qué ha sucedido, qué datos han sido comprometidos y qué medidas debes tomar para protegerte.
Si eres cliente de Endesa o Energía XXI, es probable que hayas recibido una notificación oficial. No obstante, la magnitud de la filtración obliga a extremar la vigilancia durante los próximos meses. A continuación, desglosamos el ataque y las recomendaciones de los expertos en seguridad digital.
¿Qué ha pasado exactamente con el ciberataque a Endesa?
El incidente tuvo lugar a principios de enero de 2026, cuando atacantes lograron vulnerar los sistemas de la plataforma comercial de Endesa. El acceso ilícito permitió extraer información almacenada en bases de datos que gestionaban contratos de suministro tanto del mercado libre como del mercado regulado.
A pesar de la fuerte inversión de la compañía en ciberseguridad, diversos expertos apuntan a que el vector de ataque podría estar relacionado con la gestión de proveedores externos. La subcontratación de servicios tecnológicos y de atención al cliente suele generar puntos débiles que son aprovechados por los ciberdelincuentes.
Datos comprometidos: ¿Qué información tienen los atacantes?
Endesa ha detallado el tipo de información afectada, aunque el número exacto de clientes perjudicados continúa bajo investigación. La combinación de estos datos permite a los atacantes realizar campañas de fraude altamente personalizadas.
Los datos confirmados como comprometidos incluyen:
- Datos personales: nombre, apellidos y número de DNI.
- Información de contacto: correo electrónico y número de teléfono.
- Datos contractuales: información sobre contratos de luz y gas.
- Datos bancarios: en algunos casos, el código IBAN asociado a los pagos.
Según la información oficial, las contraseñas de acceso a las áreas privadas de clientes no se han visto comprometidas.
Energía XXI y el mercado regulado: un colectivo especialmente vulnerable
La afectación a Energía XXI resulta especialmente preocupante. Como comercializadora de referencia del Precio Voluntario para el Pequeño Consumidor (PVPC), muchos de sus clientes son perfiles menos familiarizados con entornos digitales o fraudes online.
Las autoridades de consumo han alertado de intentos de estafa dirigidos específicamente a estos usuarios, solicitando pagos urgentes o cambios de cuenta bancaria mediante llamadas telefónicas fraudulentas.
Riesgos principales tras la filtración de datos de Endesa
El mayor peligro tras un ciberataque a Endesa no es el acceso directo a las cuentas bancarias, sino la suplantación de identidad. Con datos reales, los estafadores pueden hacerse pasar por gestores de la compañía con gran credibilidad.
Las amenazas más habituales son:
- Phishing: correos electrónicos falsos con enlaces maliciosos.
- Smishing: SMS fraudulentos que solicitan verificar datos.
- Vishing: llamadas telefónicas que buscan obtener códigos de seguridad o autorizar cargos.
Medidas urgentes si eres cliente de Endesa o Energía XXI
Si tus datos han sido expuestos, es fundamental actuar con rapidez para minimizar riesgos.
- Revisa tus cuentas bancarias de forma periódica.
- Cambia contraseñas y activa el doble factor de autenticación.
- Desconfía de llamadas y mensajes que soliciten datos personales.
- No hagas clic en enlaces sospechosos.
El teléfono 017 del INCIBE: ayuda oficial ante fraudes y ciberataques
El 017 es el número gratuito del Instituto Nacional de Ciberseguridad (INCIBE), destinado a prestar asistencia inmediata a ciudadanos y empresas ante incidentes de ciberseguridad.
Si sospechas que estás siendo víctima de un fraude relacionado con la filtración de datos de Endesa, puedes llamar al 017 para recibir asesoramiento especializado. Este servicio ofrece:
- Orientación sobre cómo actuar ante intentos de estafa.
- Asistencia para identificar phishing, smishing o vishing.
- Recomendaciones para proteger tus datos personales y financieros.
- Derivación a otros organismos si es necesario.
El servicio está disponible los 365 días del año y no supone ningún coste para el usuario. Además los usuarios disponen de la denuncia telemática.
La respuesta de Endesa y la actuación de la AEPD
Endesa activó sus protocolos de seguridad y notificó el incidente a la Agencia Española de Protección de Datos (AEPD), tal y como exige la normativa vigente. La AEPD analizará si las medidas de seguridad eran adecuadas o si procede una posible sanción.
Asociaciones de consumidores ya han solicitado investigaciones para esclarecer responsabilidades y garantizar la protección de los afectados.
Para más información oficial, puedes consultar el portal del INCIBE o la web de la AEPD.
Preguntas frecuentes sobre el ciberataque a Endesa
¿Qué ha ocurrido exactamente en el ciberataque a Endesa?
Endesa ha confirmado una intrusión no autorizada en sus sistemas informáticos que ha provocado la filtración de datos personales de clientes. El incidente afectó tanto a la compañía matriz como a su comercializadora regulada Energía XXI, comprometiendo información sensible almacenada en bases de datos comerciales.
¿Qué tipo de datos personales se han visto afectados?
Entre los datos comprometidos se encuentran nombres y apellidos, DNI, información de contacto, datos contractuales de suministro eléctrico y, en algunos casos, el código IBAN asociado a la domiciliación bancaria. Endesa ha indicado que las contraseñas de acceso no se han visto comprometidas.
¿Cómo puedo saber si soy uno de los clientes afectados?
Endesa y Energía XXI están obligadas a notificar de forma individual a los clientes cuyos datos hayan sido comprometidos. Si eres cliente y has recibido una comunicación oficial, significa que tu información podría haberse visto afectada. En caso de duda, se recomienda contactar directamente con los canales oficiales de la compañía.
¿Pueden robar dinero de mi cuenta bancaria con el IBAN filtrado?
Con solo el IBAN no es posible retirar dinero directamente, pero sí pueden intentarse cargos o domiciliaciones fraudulentas. Por ello, es fundamental revisar los movimientos bancarios con frecuencia y comunicar cualquier cargo sospechoso a la entidad bancaria.
¿Qué riesgos existen tras la filtración de datos de Endesa?
El principal riesgo es la suplantación de identidad mediante técnicas de phishing, smishing o vishing. Los estafadores pueden utilizar datos reales para hacerse pasar por Endesa o Energía XXI y solicitar pagos, cambios de contrato o información confidencial.
¿Qué debo hacer si recibo una llamada o mensaje sospechoso?
No facilites nunca datos personales ni bancarios por teléfono, SMS o correo electrónico. Endesa no solicita claves ni códigos de seguridad por estos canales. Ante cualquier duda, cuelga y contacta tú mismo con la compañía o con el servicio de ayuda del INCIBE.
¿Qué es el teléfono 017 del INCIBE y cuándo debo llamar?
El 017 es el número gratuito del Instituto Nacional de Ciberseguridad (INCIBE). Puedes llamar si sospechas que estás siendo víctima de un fraude relacionado con el ciberataque a Endesa. El servicio ofrece asesoramiento inmediato y orientación sobre cómo actuar ante estafas digitales.
¿Tengo que cambiar de compañía eléctrica tras el ciberataque?
No es necesario cambiar de compañía ni de contrato por motivos de seguridad técnica. El suministro eléctrico no se ve afectado. Sin embargo, es importante desconfiar de ofertas comerciales agresivas que utilicen el contexto del ataque para presionar al cliente.
¿Puede Endesa recibir una sanción por esta filtración de datos?
La Agencia Española de Protección de Datos (AEPD) analizará el incidente para determinar si Endesa cumplía con las medidas de seguridad exigidas por el RGPD. En caso de negligencia, podrían imponerse sanciones económicas.
¿Dónde puedo obtener información oficial y actualizada?
Para información fiable y actualizada, se recomienda consultar los comunicados oficiales de Endesa, la web del INCIBE y el portal de la Agencia Española de Protección de Datos.
¿Cómo sé si mis datos han sido robados en el ataque a Endesa?
Endesa y Energía XXI están obligadas por ley a notificar individualmente a cada cliente afectado a través de correo electrónico o comunicación postal. Si no has recibido ninguna comunicación, es probable que tus datos no estuvieran en la base de datos comprometida, pero se recomienda revisar periódicamente tu bandeja de entrada y spam.
¿Pueden sacar dinero de mi cuenta con mi IBAN filtrado?
Con solo el IBAN no es posible realizar retiradas directas de dinero en ventanilla o cajero, pero sí podrían intentar domiciliar recibos fraudulentos. Es fundamental que revises tus cargos bancarios y que hables con tu banco para restringir domiciliaciones no autorizadas.
¿Tengo que cambiar mi contrato de luz tras la filtración?
No es necesario cambiar de contrato ni de compañía por motivos de seguridad técnica, ya que el suministro eléctrico funciona con normalidad. Sin embargo, debes estar atento a ofertas comerciales agresivas que utilicen tus datos filtrados para presionarte a realizar cambios de contrato mediante engaños.
¿Qué teléfono de ayuda ha habilitado Endesa para los afectados?
La compañía ha puesto a disposición el número gratuito 800 760 366 para resolver dudas relacionadas específicamente con este incidente de seguridad y el posible uso fraudulento de los datos.
Conclusión
El ciberataque a Endesa pone de manifiesto que ninguna empresa está completamente a salvo. Mantenerse informado, actuar con rapidez y utilizar los canales oficiales como el 017 del INCIBE son claves para reducir el impacto de este tipo de incidentes.
