대상: 공지를 받은 현재 및 전 Endesa 고객(스페인), 그리고 신분증 번호를 알고 있는 누군가로부터 "전기 회사에서 왔다"는 전화를 받은 모든 사람. 이 글은 Endesa Energía의 공식 공지와 INCIBE(스페인 국가 사이버보안 기관), AEPD(스페인 개인정보보호청), 스페인 은행(Bank of Spain), 국가경찰의 안내를 바탕으로 합니다. 공격이 어떻게 이루어졌는지는 다루지 않습니다.
고객이 오늘 해야 할 일
공지를 읽고 어떤 데이터가 영향을 받았는지 확인하십시오
Endesa는 데이터가 침해된 모든 고객에게 통지했다고 밝혔습니다. 본인의 경우가 불확실하다면 Endesa Energía의 개인정보보호책임자(contactodpo@endesa.es)에게 문의하십시오. AEPD에 따르면 열람권은 무료이며, 회사는 한 달 안에 답변해야 합니다(복잡한 경우 두 달 추가 연장 가능). 의심스러운 사항을 신고하려면 Endesa의 전화번호 800 760 366을 이용하십시오. "Endesa를 대신해" 도착한 메시지에는 답장하지 말고, 직접 이 연락 경로를 이용하십시오.
'Endesa에서 왔다'는 전화라면 끊고 공식 번호로 직접 연락하십시오
INCIBE는 간단히 말합니다. 확신이 서지 않으면 전화를 끊고 공식 번호로 직접 연락하라는 것입니다. Endesa 웹사이트에는 "Comprueba quién te ha llamado"(누가 전화했는지 확인하기)라는 조회 기능이 있어, 번호가 Endesa Energía에서 승인되었는지 알려줍니다. 그러나 INCIBE는 화면에 표시된 번호는 위조될 수 있다(전화 스푸핑)고 경고하므로, Endesa 목록과 일치하는 번호라는 사실만으로는 충분하지 않습니다. 가장 안전한 확인 방법은 전화를 끊고 직접 거는 것입니다.
SMS 코드나 은행 정보를 알려주지 마시고, 데이터를 '확인'하지 마십시오
Endesa는 요청하지 않은 전화에서 정보 확인을 요구하지 않겠다고 밝혔으며, 계약을 체결하거나 변경할 때만 정보를 요청한다고 합니다. "계약을 확인하기 위해 SMS로 보안 코드를 받으라"고 말하는 상대는 Endesa가 사기 전화 안내서에서 설명한 경고 신호 중 하나입니다. 채무, 공급 중단, 위약금에 관한 문자 속 링크도 누르지 마십시오(피싱이란 무엇인가? 참조).
계좌의 자동이체 내역을 확인하십시오
알지 못하는 채권자의 자동이체(recibos domiciliados) 내역을 명세서에서 살펴보십시오. 스페인 은행에 따르면, 왕령 법령 19/2018은 환불받을 권리를 부여합니다. 승인하지 않은 이체라면 13개월 안에, 승인한 이체라면 법이 정한 조건에 따라 8주 안에 환불을 요청할 수 있습니다. 은행에 사유를 밝히고 환불을 요청하십시오.
본인 명의 대출이 의심되면 CIRBE를 확인하십시오
스페인 은행은 누군가 본인 명의로 대출, 신용 또는 보증을 받았다고 의심되면 중앙신용등록부(CIRBE)를 확인하라고 안내합니다. 본인 보고서는 무료이며, 상세 버전에는 각 거래를 실행한 금융기관이 표시됩니다.
사기 피해가 발생하면 경찰 신고, 은행 연락, AEPD 민원을 진행하십시오
국가경찰서 또는 시민경비대 지구대에서 경찰 신고(denuncia)를 하십시오. 국가경찰은 온라인 신고 사무소(Oficina Virtual de Denuncias)를 통해 신고를 시작한 뒤 경찰서에서 서명하도록 하며, 이는 72시간 이내에 해야 합니다. 은행과 거래가 이루어진 회사에도 알리십시오. 개인정보 보호 문제에 대해서는 AEPD가 담당 기관입니다. 상담이 필요하면 INCIBE의 017 헬프라인이 무료이며 비밀이 보장됩니다(WhatsApp 900 116 117 가능). 운영 시간은 매일 오전 8시부터 오후 11시까지입니다.
비밀번호는 유출되지 않았지만 재사용하지 마십시오
Endesa는 비밀번호가 침해되지 않았다고 밝혔습니다. 그래도 INCIBE는 서비스마다 다르고 강력한 비밀번호를 사용할 것을 권장합니다. 다른 곳에서도 같은 비밀번호를 사용했다면 그곳에서 변경하십시오. 비밀번호 관리자를 쓰면 이 작업이 쉬워집니다.
DNI + 연락처 + 계약
→ 이미 본인을 아는 "요금 변경", "공급 중단" 또는 "채무" 전화나 문자
확인: 전화를 끊고 공식 번호로 직접 연락
IBAN
→ 승인하지 않은 자동이체
확인: 명세서의 자동이체 내역(최대 13개월 내 환불)
DNI + IBAN 함께
→ 본인 명의로 계약을 체결하려는 시도
확인: CIRBE 보고서. 사기라면 경찰 신고
비밀번호는 침해되지 않았음(Endesa 발표 기준)
무슨 일이 있었나 (Endesa 및 스페인 당국 발표 기준)
다음 내용은 Endesa Energía의 고객 공지와 INCIBE의 경고에서 가져왔습니다. Endesa는 탐지 날짜와 영향을 받은 사람 수를 공개하지 않았습니다.
2026년 1월 12일
Endesa Energía가 고객에게 사고를 알리고 웹사이트에 공지를 게시했습니다(날짜는 BleepingComputer 보도 기준). 회사는 상거래 플랫폼에 대한 무단 및 불법 접근을 탐지했다고 밝혔습니다.1월 13일
INCIBE가 "Endesa, 고객에게 개인정보 유출 알림"이라는 경고를 높은 중요도로 게시했습니다. 이 데이터는 Endesa의 자유시장 및 규제시장 소매 공급업체와의 계약과 관련이 있다고 밝혔습니다.초기 평가 이후
Endesa는 스페인 개인정보보호청(AEPD)을 포함한 관할 기관에 사고를 신고했습니다. 내부 및 공급업체와 함께 진행하는 조사는 계속되고 있습니다.3월 31일
Endesa는 사기 전화 및 문자 안내서를 2026년 실제 사례(추정 채무, "12시간 내 공급 중단")로 업데이트했습니다. 이 안내서에서 Endesa는 이러한 사기 전화가 Endesa Energía나 개인정보 처리와 관련이 없다고 밝혔습니다.
- 유출되었을 수 있음
- 기본 식별 정보, 연락처, DNI, Endesa Energía 계약 관련 데이터, 그리고 일부 경우 결제 정보(IBAN)
- 영향 없음
- 비밀번호 접근 데이터("어떤 경우에도 아님", Endesa 발표 기준)
- 부정 사용
- 공지 시점 기준으로 Endesa는 데이터의 부정 사용에 대한 증거가 없다고 밝혔습니다
- Endesa의 조치
- 침해된 접근 계정 즉시 차단, 로그 분석, 영향을 받은 고객 통지, 시스템에 대한 지속적인 특별 모니터링
- 당국
- AEPD를 포함한 관할 기관에 신고됨
- 서비스
- 회사에 따르면 업무와 서비스는 정상적으로 운영 중
- 공식 연락처
- 고객 상담 800 760 366 · 개인정보보호책임자: contactodpo@endesa.es
해석 방법: '부정 사용 증거 없음'이 '위험 없음'을 뜻하지는 않습니다
Endesa의 공지 자체도 위험을 나열합니다. 누군가 본인을 사칭하거나 신원을 도용할 수 있고, 데이터를 공개하거나 피싱 또는 스팸에 사용할 수 있다는 것입니다. 그래서 고객에게 의심스러운 메시지에 주의하고, 직접 알지 못하는 사람에게 개인 정보를 주지 말라고 요청하는 것입니다. 이 위험은 몇 주 뒤에 사라지지 않습니다. 신분증 번호와 IBAN은 비밀번호처럼 재설정할 수 없습니다.
같은 에너지 사기, 그리고 이 데이터가 사기를 더 설득력 있게 만드는 이유
가짜 "에너지 상담원"의 전화는 이번 유출 사고 이전에도 있었습니다. Endesa의 안내서는 흔히 쓰이는 대본을 설명합니다.
- "전기 요금이 오르고 있으니 공급업체를 바꾸셔야 합니다"
- "이번 변경은 청구 회사가 바뀌는 것을 의미합니다"
- "계약 정보를 확인하려고 전화드렸습니다. 코드가 담긴 SMS를 받으실 겁니다"
- 기한이 있는 공급 중단 또는 위약금 위협
같은 안내서는 사기꾼이 종종 DNI, 전화번호, 주소 같은 개인 정보를 가지고 있으며, 이를 이용해 신뢰를 얻는다고 경고합니다.
가짜 전화의 신호
- "Endesa와 연결된 소매업체" 또는 "전기 회사와 제휴한" 곳에서 전화했다고 말함
- 정당해 보이도록 DNI나 주소를 읊음
- 요금 인상, 몇 시간 내 공급 중단, 위약금 등으로 압박
- SMS 코드나 은행 정보를 요구함
- 소매 공급업체를 바꾸려는 배전 회사라고 주장함
Endesa가 밝힌 자사의 방식
- 항상 Endesa Energía라고 자신을 밝힘
- 요청하지 않은 전화에서 정보 확인을 요구하지 않음
- 계약을 체결하거나 변경할 때만 정보를 요청함
- 배전 회사는 소매 공급업체를 바꾸기 위해 전화하지 않음
- 확신이 서지 않으면 전화를 끊고 공식 채널로 직접 연락함
교훈은 "사기꾼을 알아보는 법을 배우라"는 것이 아니라, 상대가 진짜라고 판단할 때 무엇을 근거로 삼는지를 바꾸라는 것입니다. 전에는 상대가 DNI와 계약 내용을 알고 있으면 공급업체라는 합리적인 근거가 되었습니다. 이번과 같은 유출 이후에는 그 근거가 아무 의미가 없습니다.
통화 중에는 상대가 진짜인지 확인하려고 하지 마십시오. 전화를 끊고 따로 확인하십시오. 화면에 표시된 번호도 마찬가지입니다. INCIBE는 전기 회사를 흉내 내기 위해서도 번호를 위조할 수 있다고 설명합니다.
IBAN: 무엇을 확인하고 환불을 청구할 기간은 얼마인지
IBAN만으로는 온라인 뱅킹에 로그인할 수 없지만, 본인이 서명하지 않은 자동이체에 나타날 수 있습니다. 방어 방법은 단순하지만 효과적입니다. 자동이체 내역을 확인하십시오.
이 사이트의 견해: 은행 명세서에 이미 승인되지 않은 이체가 나타납니다
모니터링 서비스에 돈을 낼 필요는 없습니다. 명세서의 모든 SEPA 자동이체에는 대금을 받는 채권자의 이름이 표시됩니다. 한 달에 한 번 최근 몇 달의 자동이체를 훑어보고 알지 못하는 내역을 표시하십시오. 승인하지 않은 이체를 되돌릴 수 있는 기간이 13개월이므로, 매달 확인하면 충분한 여유가 있습니다. 은행 앱이 모든 결제를 알려줄 수 있다면 켜 두십시오. 이상 거래를 가장 빨리 발견하는 방법입니다.
신분증 번호와 IBAN을 보관하는 기업의 경우 교훈이 다릅니다. 이 데이터는 비밀번호처럼 "재설정"할 수 없으므로, 누가 조회할 수 있는지, 한 번에 몇 건까지 조회할 수 있는지를 제한하십시오. 이는 조직을 위한 최소 보안 기준에서 다루며, 법적 틀은 GDPR이란 무엇인가?에서 다룹니다.
올해 가장 가까운 사례는 네덜란드의 Odido 유출 사고입니다. 여기서도 IBAN과 신분증 번호가 유출되었고, 네덜란드 당국은 매우 비슷한 조언을 했습니다. 서류를 서둘러 재발급하지 말고, 자동이체를 확인하고, "내 번호를 안다"고 말하는 사람을 의심하라는 것입니다. 실제 보상 프로그램이 가짜 메시지를 더 그럴듯하게 만든 사례는 한국의 TVING 유출 사고를 참고하십시오.
출처 (공개 기록)
이 글의 사실은 아래 공개 출처를 바탕으로 합니다. 공격자의 주장과 공개되지 않은 수치는 사용하지 않았습니다.
- Endesa Energía, 보안 사고에 관한 고객 공지(스페인어) — endesa.com
- INCIBE, "Endesa notifica a sus clientes una filtración de datos personales"(2026년 1월 13일, 스페인어) — incibe.es
- INCIBE, Tu Ayuda en Ciberseguridad(017 헬프라인, 스페인어) — incibe.es / "Spoofing telefónico: cuando la llamada parece legítima" — incibe.es
- Endesa, "Llamadas fraudulentas: cómo detectarlas y cómo actuar"(2026년 3월 31일 업데이트, 스페인어) — endesa.com / "Comprueba quién te ha llamado" — endesa.com
- AEPD, "Ejerce tus derechos"(스페인어) — aepd.es
- 스페인 은행(은행 고객 포털), "Adeudos domiciliados"(스페인어) — clientebancario.bde.es / "Custodia tus datos: conoce los riesgos de la suplantación de identidad" — clientebancario.bde.es / CIRBE — clientebancario.bde.es
- 국가경찰, Oficina Virtual de Denuncias(스페인어) — denuncias.policia.es
- BleepingComputer, "Spanish energy giant Endesa discloses data breach affecting customers"(2026년 1월 12일, 날짜 확인용으로만 사용) — bleepingcomputer.com
업데이트 기록
2026-09-30: 최초 버전. Endesa Energía 공지(2026년 9월 30일 확인 기준, 영향 고객 수 미공개), INCIBE의 2026년 1월 13일 경고, AEPD, 스페인 은행, 국가경찰의 안내를 바탕으로 작성.
다음으로 읽을 글
- 가장 가까운 사례: Odido 데이터 유출(IBAN과 신분증 번호 유출)
- 가짜 전화와 메시지: 피싱이란 무엇인가? / 가짜 바이러스 경고(기술 지원 사기)
- 계정 보호: 비밀번호 관리자 선택하기 / 다중 인증 선택하기
- 2026년 다른 사고: TVING 데이터 유출 / 데이터 유출 및 사이버 공격 목록(일본 및 전 세계)
- 운영자용: 조직을 위한 최소 보안 기준