Para: clientes atuais e antigos da Endesa na Espanha que receberam o aviso do incidente, e qualquer pessoa que receba ligações "da companhia de eletricidade" de alguém que conhece o seu número de DNI. Este artigo se baseia no comunicado oficial da Endesa Energía e em orientações do INCIBE (instituto nacional de cibersegurança da Espanha), da AEPD (Agência Espanhola de Proteção de Dados), do Banco da Espanha e da Polícia Nacional. Ele não trata de como o ataque foi executado.
O que os clientes devem fazer hoje
Leia o comunicado e pergunte quais dos seus dados foram afetados
A Endesa diz que notificou todos os clientes cujos dados foram comprometidos. Se você tiver dúvidas sobre o seu caso, escreva para o Encarregado de Proteção de Dados da Endesa Energía (contactodpo@endesa.es). Segundo a AEPD, o direito de acesso é gratuito e a empresa deve responder em até um mês (prorrogável por mais dois em casos complexos). Para comunicar algo suspeito, a Endesa indica o telefone 800 760 366. Entre em contato por esses canais por conta própria; não responda a mensagens que chegarem "em nome da Endesa".
Se alguém ligar 'da Endesa', desligue e ligue você mesmo para o número oficial
O INCIBE resume assim: na dúvida, desligue e ligue para a empresa você mesmo, no número oficial. O site da Endesa tem uma consulta, "Comprueba quién te ha llamado" (verifique quem ligou para você), que informa se um número é autorizado pela Endesa Energía. Mas o INCIBE alerta que o número exibido na tela pode ser falsificado (spoofing telefônico), então um número que consta na lista da Endesa não basta por si só: a verificação segura é desligar e discar você mesmo.
Nunca informe códigos por SMS nem dados bancários, nem 'confirme' seus dados
A Endesa diz que nunca pedirá que você confirme seus dados em uma ligação não solicitada; ela só pede informações quando você está assinando ou alterando um contrato. Quem anuncia "um código de segurança por SMS" para "verificar o seu contrato" é um dos sinais de alerta descritos pela Endesa em seu guia sobre ligações fraudulentas. Também não clique em links em mensagens sobre dívidas, cortes ou multas (veja o que é phishing?).
Confira os débitos automáticos na sua conta
Veja nos extratos os débitos (recibos domiciliados) de cobradores que você não reconhece. Segundo o Banco da Espanha, o Real Decreto-ley 19/2018 lhe dá o direito de pedir o reembolso: se você não autorizou o débito, tem 13 meses; se autorizou, 8 semanas, nas condições fixadas pela lei. Peça o reembolso ao seu banco e informe o motivo.
Se suspeitar de empréstimo em seu nome, consulte a CIRBE
O Banco da Espanha orienta consultar a sua Central de Risco de Crédito (CIRBE) se você suspeitar que alguém contratou um empréstimo, crédito ou garantia em seu nome. O seu próprio relatório é gratuito, e a versão detalhada mostra qual instituição concedeu cada operação.
Se houver fraude: boletim de ocorrência, seu banco e a AEPD
Registre um boletim de ocorrência (denuncia) em uma delegacia da Polícia Nacional ou em um posto da Guarda Civil. A Polícia Nacional permite iniciá-lo pelo seu escritório virtual de denúncias (Oficina Virtual de Denuncias) e depois assiná-lo em uma delegacia (em até 72 horas). Informe o seu banco e a empresa onde a transação foi feita. Para questões de proteção de dados, a autoridade competente é a AEPD. Para orientação, a linha 017 do INCIBE é gratuita e confidencial (também no WhatsApp pelo número 900 116 117), das 8h às 23h, todos os dias.
As senhas não vazaram, mas não as reutilize
A Endesa diz que as senhas não foram comprometidas. Mesmo assim, o INCIBE recomenda senhas fortes e diferentes para cada serviço. Se você usou a mesma em outro lugar, troque-a por lá. Um gerenciador de senhas facilita isso.
DNI + contato + contrato
→ Ligação ou SMS de "mudança de tarifa", "corte de fornecimento" ou "dívida" que já sabe quem você é
Verifique: desligue e ligue você mesmo para o número oficial
IBAN
→ Débitos automáticos que você nunca autorizou
Verifique: débitos no seu extrato (reembolso em até 13 meses)
DNI + IBAN juntos
→ Tentativas de assinar contratos em seu nome
Verifique: relatório da CIRBE; se houver fraude, registre boletim de ocorrência
As senhas não foram comprometidas (segundo a Endesa)
O que aconteceu (segundo a Endesa e as autoridades espanholas)
O relato a seguir vem do comunicado da Endesa Energía aos clientes e do alerta do INCIBE. A Endesa não divulgou a data de detecção nem o número de pessoas afetadas.
12 de janeiro de 2026
A Endesa Energía notifica os clientes sobre o incidente e publica o aviso em seu site (data segundo a BleepingComputer). Ela afirma ter detectado acesso não autorizado e ilegítimo à sua plataforma comercial.13 de janeiro
O INCIBE publica o alerta "Endesa notifica seus clientes sobre um vazamento de dados pessoais", com alta importância. Ele afirma que os dados se referem a contratos com as comercializadoras do mercado livre e do mercado regulado da Endesa.Após a avaliação inicial
A Endesa comunica o incidente às autoridades competentes, incluindo a Agência Espanhola de Proteção de Dados (AEPD). A investigação, interna e com seus fornecedores, está em andamento.31 de março
A Endesa atualiza seu guia sobre ligações e mensagens fraudulentas com exemplos reais de 2026 (supostas dívidas, "corte de fornecimento em 12 horas"). Nesse guia, a Endesa afirma que essas ligações fraudulentas não têm relação com a Endesa Energía nem com o seu tratamento de dados pessoais.
- Possivelmente extraídos
- Dados básicos de identificação, dados de contato, DNI, dados do contrato com a Endesa Energía e, em alguns casos, dados de pagamento (IBAN)
- Não afetados
- Dados de acesso às senhas ("em nenhum caso", segundo a Endesa)
- Uso fraudulento
- Até o comunicado, a Endesa afirma que não há evidências de uso fraudulento dos dados
- Medidas da Endesa
- Bloqueio imediato das contas de acesso comprometidas, análise de registros, notificação dos clientes afetados e monitoramento especial e contínuo de seus sistemas
- Autoridades
- Comunicado às autoridades competentes, incluindo a AEPD
- Serviço
- Operações e serviços funcionando normalmente, segundo a empresa
- Contato oficial
- Linha de atendimento 800 760 366 · Encarregado de Proteção de Dados: contactodpo@endesa.es
Como ler: 'não há evidência de uso fraudulento' não significa 'não há risco'
O próprio comunicado da Endesa lista os riscos: alguém pode tentar se passar por você ou usurpar sua identidade, publicar os dados ou usá-los em phishing ou spam. Por isso, a empresa pede que os clientes fiquem atentos a mensagens suspeitas e não informem dados pessoais a pessoas que não conhecem pessoalmente. O risco não expira em poucas semanas: um número de DNI e um IBAN não expiram como uma senha que pode ser redefinida.
O mesmo velho golpe da energia, e por que esses dados o tornam mais convincente
Ligações de falsos "consultores de energia" não começaram com este vazamento. O guia da Endesa descreve os roteiros usuais:
- "Os preços da eletricidade estão subindo, você deveria trocar de fornecedor"
- "Essa mudança significa troca da empresa de cobrança"
- "Estamos ligando para verificar os dados do seu contrato; você receberá um SMS com um código"
- A ameaça de corte de fornecimento ou multa com prazo
O mesmo guia alerta que golpistas frequentemente têm dados pessoais como seu DNI, número de telefone ou endereço e os usam para ganhar sua confiança.
Sinais de ligação falsa
- "Ligamos de uma comercializadora vinculada à Endesa" ou "parceira da sua companhia de eletricidade"
- Recita seu DNI ou endereço para parecer legítimo
- Pressão: aumento de preço, corte em horas, multa
- Pede código de SMS ou seus dados bancários
- Afirma ser a distribuidora trocando a sua comercializadora
O que a Endesa diz que faz
- Sempre se identifica como Endesa Energía
- Não pede que você confirme dados em ligações não solicitadas
- Só pede dados quando você está assinando ou alterando um contrato
- As distribuidoras nunca ligam para trocar a sua comercializadora
- Na dúvida: desligue e ligue você mesmo para os canais oficiais
A lição não é "aprenda a identificar golpistas"; é mudar em que você se apoia para decidir que quem liga é genuíno. Antes, alguém saber seu DNI e seu contrato era um sinal razoável de que era seu fornecedor. Depois de um vazamento como este, esse sinal não vale nada.
Não tente confirmar que quem liga é genuíno enquanto ainda está na chamada: desligue e verifique por conta própria. O mesmo vale para o número na tela: o INCIBE explica que ele pode ser falsificado, inclusive para imitar empresas de eletricidade.
O IBAN: o que verificar e quanto tempo você tem para pedir o reembolso
Um IBAN não pode ser usado para acessar o seu internet banking, mas pode aparecer em um débito automático que você nunca assinou. A defesa é simples e eficaz: olhe os seus débitos.
Visão deste site: seu extrato bancário já mostra débitos não autorizados
Você não precisa pagar por um serviço de monitoramento. Cada débito direto SEPA no seu extrato mostra o nome do credor que o cobra. Uma vez por mês, revise os débitos dos últimos meses e sinalize qualquer um que você não reconheça. Como você tem 13 meses para reverter um débito não autorizado, uma verificação mensal deixa bastante margem. Se o aplicativo do seu banco puder avisar sobre cada cobrança, ative: é a forma mais rápida de identificar uma.
Para empresas que armazenam números de DNI e IBANs, a lição é outra: esses dados não podem ser "redefinidos" como uma senha, então limite quem pode consultá-los e quantos registros podem ser acessados de uma vez. Tratamos disso em a base mínima de segurança para organizações, e o marco legal em o que é o GDPR?.
O paralelo mais próximo deste ano é o vazamento da Odido nos Países Baixos, em que IBANs e números de identificação também vazaram, e as autoridades holandesas deram orientações muito semelhantes: não corra para substituir documentos, confira seus débitos automáticos e desconfie de quem "conhece" seus números. Para um caso em que um programa de compensação genuíno tornou mensagens falsas mais convincentes, veja o vazamento da TVING na Coreia do Sul.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas fontes públicas abaixo. Alegações de atacantes e números não divulgados não foram utilizados.
- Endesa Energía, aviso aos clientes sobre o incidente de segurança (em espanhol) — endesa.com
- INCIBE, "Endesa notifica a sus clientes una filtración de datos personales" (13 de janeiro de 2026, em espanhol) — incibe.es
- INCIBE, Tu Ayuda en Ciberseguridad (linha 017, em espanhol) — incibe.es / "Spoofing telefónico: cuando la llamada parece legítima" — incibe.es
- Endesa, "Llamadas fraudulentas: cómo detectarlas y cómo actuar" (atualizado em 31 de março de 2026, em espanhol) — endesa.com / "Comprueba quién te ha llamado" — endesa.com
- AEPD, "Ejerce tus derechos" (em espanhol) — aepd.es
- Banco da Espanha (Portal del Cliente Bancario), "Adeudos domiciliados" (em espanhol) — clientebancario.bde.es / "Custodia tus datos: conoce los riesgos de la suplantación de identidad" — clientebancario.bde.es / CIRBE — clientebancario.bde.es
- Polícia Nacional, Oficina Virtual de Denuncias (em espanhol) — denuncias.policia.es
- BleepingComputer, "Spanish energy giant Endesa discloses data breach affecting customers" (12 de janeiro de 2026; usado apenas para a data) — bleepingcomputer.com
Histórico de atualizações
2026-09-30: Primeira versão, com base no comunicado da Endesa Energía (consultado em 30 de setembro de 2026; nenhum número de afetados divulgado), no alerta do INCIBE de 13 de janeiro de 2026 e nas orientações da AEPD, do Banco da Espanha e da Polícia Nacional.
Leia em seguida
- O paralelo mais próximo: O vazamento de dados da Odido (IBANs e números de identificação vazados)
- Ligações e mensagens falsas: O que é phishing? / Alertas falsos de vírus (golpes de suporte técnico)
- Protegendo suas contas: Como escolher um gerenciador de senhas / Como escolher a autenticação multifator
- Outros incidentes de 2026: O vazamento de dados da TVING / Lista de vazamentos e ciberataques (Japão e mundo)
- Para operadores: A base mínima de segurança para organizações