Publicado el · España
Endesa: desde una cuenta interna salieron documentos e IBAN de los clientes
En enero de 2026 Endesa y su marca Energía XXI confirmaron que alguien entró en su plataforma comercial. No por un fallo de la web: por cuentas internas, es decir, usuarios de quienes trabajan allí. Salieron datos de identidad, contactos, DNI e IBAN de los clientes.
En 30 segundos
- Alguien entró en la plataforma comercial de Endesa usando cuentas internas comprometidas.
- Salieron identidad, contactos, DNI, datos del contrato e IBAN de los clientes.
- La lección para todos: una cuenta interna es una llave de la oficina. Se protege con verificación en dos pasos.
- Cuándo
- Comunicado en enero de 2026
- Quién
- Endesa y Energía XXI, España
- Por dónde entraron
- Cuentas internas comprometidas (no se dijo cómo)
- Qué se llevaron
- Identidad, contactos, DNI, contratos, IBAN
Qué pasó
En enero de 2026 Endesa y su comercializadora Energía XXI comunicaron un acceso ilegítimo a la plataforma comercial, donde están los contratos de los clientes.
Según lo comunicado, quedaron expuestos datos de identificación, contacto, DNI, datos del contrato y datos de pago, incluidos los IBAN. Las contraseñas de las cuentas de los clientes, dice la empresa, no se vieron afectadas.
Endesa bloqueó las cuentas internas comprometidas, analiza los registros, avisó a la Agencia Española de Protección de Datos y está informando a los clientes. No se ha dicho cuántos clientes están afectados.
Por dónde entraron
Por cuentas internas: usuarios reales de quienes trabajan en la plataforma. Cómo se comprometieron no se ha hecho público, y nosotros no lo adivinamos.
En las mismas fechas un vendedor publicó lo que dice ser muestras de los datos robados y habló de 20 millones de registros. Es su afirmación: Endesa no la ha confirmado.
Por qué afecta también a una pequeña empresa
No hace falta ser un gigante. Toda empresa tiene usuarios internos: el programa de gestión, el correo, el panel de la web, la banca online. Si uno cae en malas manos, quien entra no fuerza nada: entra como un empleado y ve lo que ve él.
Y cuando salen nombre, contrato e IBAN de los clientes, un correo o una llamada en nombre de la empresa se vuelve creíble para quien lo recibe.
Qué revisar hoy en tu empresa
- Activa la verificación en dos pasos en todos los usuarios internos: empleados, colaboradores externos, proveedores.
- Cuando alguien se va, cierra sus usuarios el mismo día, no al mes siguiente.
- Cada uno ve solo lo que necesita: quien hace los repartos no tiene por qué poder descargar todos los IBAN de los clientes.
- Si te roban datos de clientes, avísales enseguida: los correos falsos en tu nombre les llegarán a ellos.