対象：Endesaから事故の通知を受け取ったスペインの顧客・元顧客と、電力会社を名乗り、自分のDNI（身分証番号）を知っている相手から電話を受けたすべての人。本記事はEndesa Energíaの公式通知と、INCIBE（スペイン国立サイバーセキュリティ機関）、AEPD（スペインのデータ保護機関）、スペイン銀行、国家警察の案内にもとづく解説で、攻撃の手口は扱いません。
顧客が今日やること
通知を読み、自分のどの情報が影響を受けたか問い合わせる
Endesaは、データが影響を受けたすべての顧客に通知したとしています。自分の状況が分からなければ、Endesa Energíaのデータ保護責任者（contactodpo@endesa.es）に問い合わせられます。AEPDによれば、開示請求（アクセス権）は無料で、企業は1か月以内に回答しなければなりません（複雑な場合はさらに2か月延長可）。不審な連絡の報告先として、Endesaは電話番号800 760 366を案内しています。問い合わせは自分からこれらの窓口へ。「Endesaの代理」として届いたメッセージには返信しないでください。
「Endesaです」という電話は、いったん切って公式番号にかけ直す
INCIBEの助言は簡潔です。迷ったら電話を切り、公式の番号に自分からかけ直す。Endesaのサイトには、番号がEndesa Energíaの正規の番号かを調べられる検索ツール「Comprueba quién te ha llamado」（誰からの電話か確かめる）があります。ただしINCIBEは、画面に表示される発信番号は偽装できる（電話のスプーフィング）と注意しています。表示された番号が正規の番号と一致しても、それだけでは本物とは限りません。確実なのは、いったん切って自分からかけることです。
SMSの認証コードや銀行情報は伝えない。電話でデータを確認させてほしいと言われても応じない
Endesaは、頼んでいない電話でデータの確認を求めることはないとしています。情報を求めるのは、新しく契約するときか契約を変更するときだけです。「契約を確認するため、SMSでセキュリティコードを送ります」という電話は、Endesaが詐欺電話の見分け方として挙げている典型例の一つです。未払い・供給停止・違約金を持ち出すSMSのリンクも開かないでください（見分け方は フィッシングとは）。
口座の引き落とし（recibos domiciliados）を確認する
明細に、心当たりのない請求元からの口座引き落としがないか確認します。スペイン銀行によれば、国王令法19/2018で返金を求める権利が定められており、承認していない引き落としは13か月以内、承認したものは法令の条件のもとで8週間以内です。取引銀行に返金を申し出て、理由を伝えます。
自分名義の融資が疑われたら、CIRBEを確認する
スペイン銀行は、誰かが自分名義で融資・与信・保証を組んだ疑いがあるとき、同行の信用情報登録（CIRBE）を確認するよう勧めています。本人の情報は無料で請求でき、詳細版ではどの金融機関が各取引を行ったかも分かります。
実際に被害が出たら：警察・銀行・AEPDへ
国家警察の警察署か治安警察隊（Guardia Civil）の詰所に被害届（denuncia）を出します。国家警察はオンラインの届け出窓口（Oficina Virtual de Denuncias）で手続きを始め、72時間以内に警察署で署名する方法も用意しています。取引銀行と、不正が行われた事業者にも連絡します。個人データの保護についての所管はAEPDです。相談先として、INCIBEの017番は無料・秘密厳守で、WhatsApp（900 116 117）でも毎日8時〜23時に受け付けています。
パスワードは漏れていないが、使い回しはやめる
Endesaはパスワードは影響を受けていないとしています。それでもINCIBEは、強いパスワードをサービスごとに別々に使うよう勧めています。同じパスワードを他で使っていたなら、そちらを変えます。パスワードマネージャーを使えば手間はかかりません。
DNI＋連絡先＋契約情報
→ こちらの身元や契約を知ったうえでの「料金プラン変更」「供給停止」「未払い」の電話やSMS
確認：切って公式番号に自分からかける
IBAN
→ 承認していない口座引き落とし
確認：明細の引き落とし（13か月以内なら返金請求）
DNI＋IBANの組み合わせ
→ 本人になりすました契約の試み
確認：CIRBEの報告書。被害があれば届け出
パスワードは影響を受けていない（Endesaの説明）
何が起きたのか（Endesaとスペイン当局の発表より）
以下は、Endesa Energíaの顧客向け通知とINCIBEの注意喚起に記載された内容です。Endesaは、不正アクセスを検知した日付と影響人数を公表していません。
2026年1月12日
Endesa Energíaが顧客に事故を通知し、同社サイトに掲載（日付はBleepingComputerによる）。営業用プラットフォームへの不正かつ違法なアクセスを検知したと説明。1月13日
INCIBEが注意喚起「Endesaが顧客に個人データの流出を通知」を重要度「高」で公表。影響はEndesaの自由化市場と規制市場の小売会社との契約に関するデータだとしている。初期評価の後
Endesaが、スペインのデータ保護機関（AEPD）を含む所管当局に報告。社内と委託先との調査は継続中としている。3月31日
Endesaが、詐欺電話・SMSの見分け方ガイドを2026年の実例（架空の未払い、「12時間以内に供給停止」など）で更新。同ガイドでEndesaは、こうした詐欺電話は同社や同社の個人データの取り扱いとは関係がないと述べている。
- 持ち出された可能性
- 基本的な本人情報、連絡先、DNI番号、Endesa Energíaとの契約に関する情報、場合によっては支払い手段（IBAN）
- 影響なし
- パスワードなどのアクセス情報（Endesaは「いかなる場合も」影響はないとしている）
- 不正利用
- 通知の時点で、データが不正に使われた形跡はないとしている
- Endesaの対応
- 侵害されたアクセス用アカウントの即時停止、ログの分析、影響を受けた顧客への通知、システムの特別監視の継続
- 当局
- AEPDを含む所管当局に報告
- サービス
- 業務とサービスは通常どおり稼働しているとしている
- 公式の連絡先
- 顧客窓口 800 760 366 ・データ保護責任者：contactodpo@endesa.es
読み方の注意：「不正利用の形跡はない」は「危険はない」ではない
Endesaの通知自身が、リスクを挙げています。なりすまし（本人のふりをした不正な手続き）を試みられること、データが公開されること、フィッシングやスパムに使われることです。だからこそ同社は、不審な連絡に注意し、直接知らない相手に個人情報を渡さないよう求めています。このリスクは数週間では終わりません。パスワードと違い、DNI番号やIBANは作り直せないからです。
以前からある電力会社をかたる詐欺と、流出した情報で信じ込まされやすくなる理由
偽の「エネルギー相談」を名乗る電話は、この事故で始まったわけではありません。Endesaのガイドは、よく使われるせりふとして次のようなものを挙げています。
- 「電気料金が上がるので会社を替えたほうがいい」
- 「この変更で請求元の会社が変わります」
- 「契約内容の確認のためSMSでコードを送ります」
- 期限付きの供給停止や違約金の脅し
同じガイドは、詐欺をする側がDNI番号や電話番号、住所といった個人情報を持っていることが多く、それを使って信用させようとすると注意しています。
偽の電話のサイン
- 「Endesaと提携している小売会社です」「電力会社の関連会社です」
- DNIや住所を言い当てて本物らしく見せる
- 急がせる：値上げ、数時間後の供給停止、違約金
- SMSのコードや銀行情報を求める
- 配電会社を名乗り、小売会社の切り替えを持ちかける
Endesaが説明している本来の対応
- 必ず「Endesa Energía」と名乗る
- 頼んでいない電話でデータの確認は求めない
- 情報を求めるのは新規契約・契約変更のときだけ
- 配電会社が小売会社の切り替えで電話することはない
- 迷ったら切って、公式窓口に自分から連絡する
大事なのは、詐欺師を見抜けるようになることではなく、何をもって相手を本物と判断するかを変えることです。これまでは、相手がDNIや契約内容を知っていれば、本物の電力会社だとある程度判断できました。このような漏えいの後では、その判断材料はもう使えません。
電話が本物かどうかは、その電話のやり取りの中では確かめず、いったん切ってから確かめます。画面の番号も同じで、INCIBEは電力会社を装う場合も含め、発信番号は偽装できると説明しています。
IBAN：何を確認し、いつまで返金を求められるか
IBANだけではネットバンキングに入れませんが、署名した覚えのない口座引き落としに使われる可能性はあります。守り方は地味ですが確実で、口座の引き落としを定期的に確認することです。
当サイトの視点：不正な引き落としには、銀行の明細で気づける
有料の監視サービスは要りません。SEPAの口座引き落としには、明細ごとに請求元（債権者）の名前が載ります。月に一度、ここ数か月分の引き落としを見返し、心当たりのないものに印を付けます。承認していない引き落としの返金請求は13か月まで可能なので、月1回の確認で十分に間に合います。銀行アプリで引き落としのたびに通知できるなら、有効にしておくのが一番早く気づく方法です。
DNI番号やIBANを預かる企業側への教訓は別にあります。これらはパスワードのように作り直すことができないので、誰が閲覧できるか、一度に何件まで見られるかを絞ることが要になります。考え方は 組織のセキュリティ対策、最低限はどこか で、法的な枠組みは GDPRとは で扱っています。
同じ年の近い事案は オランダの通信会社Odidoの情報漏えい です。IBANと身分証の番号が漏れ、オランダ当局も「身分証の作り直しを急がない」「引き落としを確認する」「番号を知っている相手を疑う」という、よく似た助言をしています。本物の補償手続きが偽の連絡を信じさせやすくした例としては 韓国TVINGの情報漏えい も参考になります。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。攻撃者側の主張や、公表されていない数値は扱っていません。
- Endesa Energía「顧客向けのセキュリティ事故の通知」（スペイン語） — endesa.com
- INCIBE「Endesa notifica a sus clientes una filtración de datos personales」（2026年1月13日、スペイン語） — incibe.es
- INCIBE「Tu Ayuda en Ciberseguridad」（017番相談窓口、スペイン語） — incibe.es ／「Spoofing telefónico: cuando la llamada parece legítima」 — incibe.es
- Endesa「Llamadas fraudulentas: cómo detectarlas y cómo actuar」（2026年3月31日更新、スペイン語） — endesa.com ／「Comprueba quién te ha llamado」 — endesa.com
- AEPD「Ejerce tus derechos」（スペイン語） — aepd.es
- スペイン銀行（Portal del Cliente Bancario）「Adeudos domiciliados」（スペイン語） — clientebancario.bde.es ／「Custodia tus datos: conoce los riesgos de la suplantación de identidad」 — clientebancario.bde.es ／ CIRBE — clientebancario.bde.es
- スペイン国家警察「Oficina Virtual de Denuncias」（スペイン語） — denuncias.policia.es
- BleepingComputer「Spanish energy giant Endesa discloses data breach affecting customers」（2026年1月12日、英語。日付の確認のみに使用） — bleepingcomputer.com
更新履歴
2026-09-30：初版。Endesa Energíaの通知（2026年9月30日に確認した版。影響人数の公表なし）、INCIBEの2026年1月13日の注意喚起、AEPD・スペイン銀行・国家警察の案内にもとづく。
次に読む
- 最も近い事案：Odidoの情報漏えい（IBANと身分証番号の流出）
- なりすまし連絡への備え：フィッシングとは ／ 偽のウイルス警告（サポート詐欺）
- アカウントを守る：パスワードマネージャーの選び方 ／ 多要素認証の選び方
- 2026年の他の事案：TVINGの情報漏えい ／ 情報漏えい・サイバー攻撃の一覧（国内・海外）
- 運営側：組織のセキュリティ対策、最低限はどこか