El mayor grupo eléctrico de España, Endesa, acaba de sumarse a la lista de grandes compañías víctimas de una grave brecha de datos. Un ciberataque contra su plataforma comercial ha comprometido información sensible de clientes de luz y gas, tanto del mercado libre (Endesa Energía) como del regulado (Energía XXI), y ha obligado a la compañía a activar sus protocolos de seguridad y a notificar el incidente a la Agencia Española de Protección de Datos (AEPD).
Qué ha pasado y qué datos se han visto comprometidos
Según la información publicada por Endesa en su propia web de protección de datos y en las comunicaciones remitidas a los usuarios afectados, la empresa ha detectado “un acceso no autorizado e ilegítimo” a su plataforma comercial. Ese acceso ha permitido la extracción de datos personales vinculados a los contratos energéticos de los clientes.
Entre la información comprometida se encuentran datos identificativos básicos (nombre, apellidos, en algunos casos fecha de nacimiento), datos de contacto (teléfono, correo electrónico), número de DNI, datos del contrato de luz o gas y, lo más delicado, los medios de pago asociados, como el IBAN de la cuenta bancaria donde se domicilian los recibos. La compañía insiste en que las contraseñas de acceso a las áreas privadas no se han visto afectadas ni se ha detectado por ahora uso fraudulento de la información robada.
El ataque se habría producido a finales de 2025, pero Endesa ha comenzado a notificar la brecha a sus clientes en enero de 2026, a través de correos electrónicos y cartas en papel. En esas comunicaciones, el grupo admite la intrusión, detalla el tipo de datos comprometidos y recomienda extremar la precaución ante posibles intentos de fraude.
A quién afecta el ciberataque
La brecha no se limita a un segmento concreto del negocio. Fuentes de la propia compañía y varios medios generalistas apuntan a que el acceso no autorizado afecta tanto a clientes del mercado libre (Endesa Energía) como del mercado regulado a través de Energía XXI, la comercializadora de referencia del grupo.
Endesa cuenta con alrededor de 12 millones de clientes de luz y gas en la península e islas, y aunque no se ha hecho público el número exacto de afectados, algunas informaciones apuntan a que el impacto podría alcanzar a “miles” o incluso a una parte muy significativa de su base de usuarios.
La brecha no solo alcanza a clientes actuales: asociaciones de consumidores han insistido en que también se han visto expuestos datos de exclientes cuyos contratos seguían registrados en los sistemas de la compañía.
La respuesta de Endesa y el papel de la AEPD
Tras detectar el incidente, Endesa asegura haber activado sus protocolos internos de seguridad, bloqueado los accesos comprometidos y reforzado las medidas de protección de su plataforma comercial. En paralelo, ha notificado la brecha a la Agencia Española de Protección de Datos, tal y como exige el Reglamento General de Protección de Datos (RGPD) cuando existe riesgo para los derechos y libertades de las personas.
La compañía ha habilitado números de atención específicos y canales de soporte para resolver dudas y recoger posibles incidencias, a la vez que en sus comunicaciones insiste en que no hay constancia de uso fraudulento de la información. El mensaje, en esencia, es doble: llamada a la calma, pero también a la vigilancia ante correos, llamadas o SMS sospechosos que pidan datos personales o bancarios.
FACUA y las asociaciones de consumidores elevan la presión
El caso no se ha quedado en una mera notificación corporativa. FACUA ha pedido formalmente a la AEPD que investigue la brecha de seguridad, a la que califica de “grave”, y ha lanzado una alerta pública a los usuarios de Endesa y Energía XXI para que extremen las precauciones ante posibles fraudes.
La asociación subraya que con los datos robados —DNI, contacto, contrato, IBAN— resulta técnicamente viable montar campañas de phishing muy creíbles o incluso intentar cargos indebidos a través de domiciliaciones bancarias. Por ello, recomienda a los afectados desconfiar de cualquier comunicación que solicite datos adicionales, verificar siempre la autenticidad de correos y llamadas y revisar de forma sistemática sus movimientos bancarios.
Otras organizaciones de consumidores y oficinas autonómicas de atención al usuario han emitido mensajes en la misma línea, ofreciendo asesoría y recordando que, en caso de que se produzcan fraudes vinculados a esta brecha, los afectados podrán reclamar responsabilidades y compensaciones.
Un precedente incómodo: Energía XXI ya fue alertada en 2024
No es la primera vez que el ecosistema de Endesa se ve señalado por problemas de seguridad. En junio de 2024, el Instituto Nacional de Ciberseguridad (INCIBE) publicó una nota de seguridad alertando de una filtración de datos en Energía XXI, la comercializadora de referencia del grupo, que podía afectar a aquellos clientes que recibieran una notificación sobre posibles accesos a sus datos personales.
Aunque el incidente actual tiene otra escala y un impacto mucho mayor, este antecedente refuerza la sensación de que la superficie de ataque de las utilities energéticas es cada vez más atractiva para los ciberdelincuentes, y que los sistemas de gestión comercial y facturación —llenos de información personal y financiera— se han convertido en un objetivo prioritario.
Un sector crítico bajo fuego
El ciberataque contra Endesa llega en un momento en el que el sector energético es considerado infraestructura crítica en todas las estrategias nacionales de ciberseguridad. La interrupción de suministro es la cara más visible del riesgo, pero la brecha de datos muestra otro ángulo igual de preocupante: la capacidad de los atacantes para explotar la información de millones de usuarios como materia prima para fraudes masivos, suplantación de identidad y extorsión.
El caso Endesa encaja, además, en una tendencia más amplia: los grandes grupos de energía, telecomunicaciones y servicios financieros se han convertido en objetivo de campañas cada vez más sofisticadas, en las que el robo de datos ya no es un fin en sí mismo, sino el primer paso para una cadena de monetización criminal que puede durar años.
Mientras la investigación técnica avanza y la AEPD analiza el alcance jurídico de la brecha, la lección que deja este incidente es clara para cualquier organización con datos sensibles de clientes: ninguna medida aislada es suficiente. La combinación de seguridad técnica robusta, monitorización continua, gestión del riesgo de terceros y planes de respuesta a incidentes bien ensayados es la única forma de reducir el impacto cuando —no si— se produzca el próximo ataque.
En el caso de Endesa, la magnitud de la fuga y la naturaleza de los datos implicados convertirán esta brecha en un referente para evaluar, en los próximos meses, hasta qué punto las compañías que gestionan servicios esenciales están realmente preparadas para proteger no solo la continuidad del suministro, sino también la privacidad y la seguridad digital de sus clientes.
