Los ciberataques a empresas privadas y a servicios del Estado para robar datos personales y financieros de suscriptores y clientes se han convertido en un delito muy frecuente. España fue el quinto país europeo con más ciberataques durante el primer semestre de 2025, y la situación no parece que vaya a mejorar en 2026.
El año comienza en este ámbito con un “acceso no autorizado e ilegítimo” a la plataforma comercial de la empresa Endesa Energía, en la que los hackers habrían tenido acceso a datos de contratos y clientes de esta empresa, que comenzó a notificar este evento, a través de correos electrónicos, a todos sus clientes.
El ciberataque
El acceso ilegal habría ocurrido el 4 de enero, cuando las medidas de protección y seguridad de la plataforma comercial de Endesa fueron sobrepasadas por un ciberdelincuente, que pudo acceder a los datos de los clientes que poseen contratos de luz y gas.
Es posible que esta operación ilegal se haya llevado a cabo para extraer información de los clientes, como nombres y apellidos, documento de identidad, o el IBAN de la cuenta bancaria. La empresa asegura que el intruso no tuvo acceso a contraseñas, ni ha habido indicios de que esté utilizando los datos para alguna actividad delictiva, por ahora.
La información en Escudo Digital
La empresa de energía se habría enterado del ataque gracias a la “dark web”, donde el autor del delito reveló en un foro realizado el 4 de enero que había accedido y extraído más de 1 TB de información perteneciente a Endesa, donde se encontraban datos de más de 20 millones de personas.
Fue el portal Escudo Digital el que informó a Endesa el 6 de enero sobre el hackeo, y fue entonces cuando la empresa activó sus protocolos de seguridad y “todas las medidas técnicas y organizativas necesarias para contenerlo, mitigar sus efectos y prevenir que se repita en el futuro”.
De acuerdo con esta publicación electrónica: “por los nombres de tablas y ficheros, el nivel de sensibilidad de los datos es extremo. Hay datos personales, como nombres y apellidos, datos de contacto, dirección postal, y relación cuenta-persona”.
Y agrega que también hay “datos financieros, como IBAN, datos de facturación e historial de cuentas y cambios; datos energéticos, como CUPS (identificador único de punto de suministro), contratos activos de luz y gas, datos del punto de suministro y datos regulatorios, como listas Robinson, cuentas exentas e historial de incidencias”.
El correo electrónico
Endesa envió un correo electrónico a todos sus clientes informando sobre el incidente y afirmando que ya está tomando medidas para evitar que algo así vuelva a repetirse.
Respecto a los datos extraídos por el hacker, señala que hasta ahora no se han encontrado señales en el ciberespacio de que se esté utilizando para cometer otra ilegalidad Sin embargo, previene a los clientes de que esta información puede llegar a usarse para usurpar identidades y cometer estafas digitales, como el phishing, o en campañas de spam.
En el correo señala como “improbable” que esta filtración “se materialice en una afectación de alto riesgo para sus derechos y libertades”; pero también advierte de que hay que estar atentos “a posibles comunicaciones sospechosas en los próximos días”, y pide reportar cualquier situación extraña al número 800 760 366.
¿Qué puede hacer un hacker con los datos obtenidos?
Los ciberdelincuentes pueden usar algunos de estos datos para hacer una notificación que parezca provenir de Endesa e intentar acceder a información más delicada, como claves o números de seguridad de las tarjetas bancarias, o para realizar otros tipos de estafas.
En general, cuando recibamos una comunicación inusual vía redes o mensajería electrónica, lo más recomendable es contactar a la empresa o institución por una vía segura, y no proporcionar ninguna información personal o financiera sensible.