Для кого: нынешних и бывших клиентов Endesa в Испании, которые получили уведомление об инциденте, а также для всех, кому звонят «от электрокомпании» люди, знающие их номер удостоверения личности. Статья основана на официальном уведомлении Endesa Energía и рекомендациях INCIBE (национального института кибербезопасности Испании), AEPD (Испанского агентства по защите данных), Банка Испании и Национальной полиции. Она не описывает, как была проведена атака.
Что клиентам делать сегодня
Прочитайте уведомление и узнайте, какие ваши данные затронуты
Endesa говорит, что уведомила каждого клиента, чьи данные были скомпрометированы. Если вы не уверены в своём случае, напишите специалисту по защите данных Endesa Energía (contactodpo@endesa.es). По данным AEPD, право доступа бесплатно, и компания обязана ответить в течение одного месяца (в сложных случаях срок может быть продлён ещё на два месяца). Чтобы сообщить о подозрительном, Endesa указывает телефон 800 760 366. Связывайтесь с этими каналами сами; не отвечайте на сообщение, которое пришло «от имени Endesa».
Если кто-то звонит «от Endesa», положите трубку и позвоните по официальному номеру сами
INCIBE формулирует просто: если есть сомнения, положите трубку и позвоните им сами по официальному номеру. На сайте Endesa есть сервис проверки «Comprueba quién te ha llamado» (проверьте, кто вам звонил), который показывает, авторизован ли номер Endesa Energía. Но INCIBE предупреждает, что номер, показанный на экране, может быть подделан (подмена номера), поэтому совпадение номера со списком Endesa само по себе недостаточно: безопасная проверка — положить трубку и набрать номер самостоятельно.
Никогда не сообщайте коды из SMS или банковские данные и не «подтверждайте» свои данные
Endesa говорит, что никогда не попросит подтвердить данные в незапрошенном звонке; она запрашивает информацию только при подписании или изменении договора. Звонящий, который сообщает «код безопасности по SMS», чтобы «подтвердить ваш договор», — один из признаков мошенничества, которые Endesa описывает в своём руководстве по мошенническим звонкам. Не переходите по ссылкам из сообщений о долгах, отключениях или штрафах (см. что такое фишинг?).
Проверьте прямые дебеты на своём счёте
Просмотрите выписки на предмет прямых дебетов (recibos domiciliados) от получателей, которых вы не узнаёте. По данным Банка Испании, Королевский декрет-закон 19/2018 даёт вам право на возврат таких списаний: если вы не авторизовали списание, у вас есть 13 месяцев; если авторизовали, то 8 недель на условиях, установленных законом. Обратитесь в свой банк за возвратом и укажите причину.
Если вы подозреваете кредит на ваше имя, проверьте CIRBE
Банк Испании советует проверить свой Центральный кредитный реестр (CIRBE), если вы подозреваете, что кто-то оформил кредит, заём или гарантию на ваше имя. Ваш личный отчёт бесплатный, а подробная версия показывает, какая организация выдала каждую операцию.
Если произошло мошенничество: заявление в полицию, банк и AEPD
Подайте заявление в полицию (denuncia) в отделение Национальной полиции или пост Гражданской гвардии. Национальная полиция позволяет начать подачу через свой онлайн-офис (Oficina Virtual de Denuncias), а затем подписать его в отделении (в течение 72 часов). Сообщите в свой банк и компании, где была совершена операция. По вопросам защиты данных компетентным органом является AEPD. За консультацией можно обратиться на бесплатную и конфиденциальную линию INCIBE 017 (также в WhatsApp по номеру 900 116 117), ежедневно с 8:00 до 23:00.
Пароли не утекли, но не используйте их повторно
Endesa говорит, что пароли не были скомпрометированы. Тем не менее INCIBE рекомендует надёжные пароли, разные для каждого сервиса. Если вы использовали тот же пароль в других местах, измените его там. Менеджер паролей упрощает эту задачу.
DNI + контакты + договор
→ Звонок или SMS о «смене тарифа», «отключении» или «долге», который уже знает, кто вы
Проверка: положите трубку и позвоните по официальному номеру сами
IBAN
→ Прямые дебеты, которые вы не авторизовали
Проверка: списания в выписке (возврат в течение до 13 месяцев)
DNI + IBAN вместе
→ Попытки подписать договоры от вашего имени
Проверка: отчёт CIRBE; при мошенничестве — заявление в полицию
Пароли не были скомпрометированы (по данным Endesa)
Что произошло (по данным Endesa и испанских властей)
Далее приведено по уведомлению Endesa Energía клиентам и оповещению INCIBE. Endesa не опубликовала дату обнаружения и число затронутых людей.
12 января 2026
Endesa Energía уведомила клиентов об инциденте и разместила уведомление на своём сайте (дата по данным BleepingComputer). Компания сообщила, что обнаружила несанкционированный и незаконный доступ к своей коммерческой платформе.13 января
INCIBE опубликовала оповещение «Endesa уведомляет своих клиентов об утечке персональных данных» с высокой степенью важности. В нём говорится, что данные относятся к договорам с розничными поставщиками Endesa на свободном и регулируемом рынках.После первичной оценки
Endesa сообщила об инциденте компетентным органам, включая Испанское агентство по защите данных (AEPD). Расследование, как внутреннее, так и с её поставщиками, продолжается.31 марта
Endesa обновила своё руководство по мошенническим звонкам и сообщениям, добавив реальные примеры 2026 года (предполагаемые долги, «отключение электроэнергии в течение 12 часов»). В этом руководстве Endesa заявляет, что эти мошеннические звонки не связаны с Endesa Energía или её обработкой персональных данных.
- Возможно выведено
- Базовые идентификационные данные, контактные данные, DNI, данные о договоре с Endesa Energía и в некоторых случаях платёжные данные (IBAN)
- Не затронуто
- Данные для доступа к паролям («ни в одном случае», по данным Endesa)
- Мошенническое использование
- На момент уведомления Endesa заявляет, что доказательств мошеннического использования данных нет
- Меры Endesa
- Немедленная блокировка скомпрометированных учётных записей доступа, анализ журналов, уведомление затронутых клиентов и специальный продолжающийся мониторинг её систем
- Власти
- Сообщено компетентным органам, включая AEPD
- Сервис
- По словам компании, работа и услуги идут в обычном режиме
- Официальные контакты
- Линия для клиентов 800 760 366 · Специалист по защите данных: contactodpo@endesa.es
Как это понимать: «нет доказательств мошеннического использования» не означает «нет риска»
В собственном уведомлении Endesa перечисляет риски: кто-то может попытаться выдать себя за вас или присвоить вашу личность, опубликовать данные или использовать их для фишинга или спама. Поэтому компания просит клиентов следить за подозрительными сообщениями и не передавать личные данные людям, которых они не знают лично. Риск не исчезает через несколько недель: номер удостоверения личности и IBAN не «сбрасываются», как пароль.
Тот же старый энергетический обман и почему эти данные делают его убедительнее
Звонки от поддельных «энергетических консультантов» начались не с этой утечки. В руководстве Endesa описаны обычные сценарии:
- «Цены на электроэнергию растут, вам стоит сменить поставщика»
- «Это изменение означает смену компании, выставляющей счета»
- «Мы звоним, чтобы подтвердить данные вашего договора; вы получите SMS с кодом»
- Угроза отключения или штрафа с крайним сроком
В том же руководстве предупреждается, что мошенники часто располагают личными данными, такими как ваш DNI, номер телефона или адрес, и используют их, чтобы завоевать ваше доверие.
Признаки поддельного звонка
- «Мы звоним от поставщика, связанного с Endesa», или «сотрудничаем с вашей электрокомпанией»
- Называет ваш DNI или адрес, чтобы выглядеть законно
- Давление: повышение цены, отключение в течение нескольких часов, штраф
- Просит код из SMS или банковские реквизиты
- Представляется распределительной компанией, которая меняет вашего поставщика
Что, по словам Endesa, она делает
- Всегда представляется как Endesa Energía
- Не просит подтвердить данные в незапрошенных звонках
- Запрашивает данные только при подписании или изменении договора
- Распределительные компании никогда не звонят, чтобы сменить вашего поставщика
- Если есть сомнения: положите трубку и позвоните в официальные каналы сами
Вывод не в том, чтобы «научиться распознавать мошенников»; нужно изменить то, на что вы опираетесь, решая, что звонящий настоящий. Раньше то, что кто-то знает ваш DNI и договор, было разумным признаком того, что это ваш поставщик. После такой утечки этот признак ничего не стоит.
Не пытайтесь подтвердить, что звонящий настоящий, пока вы всё ещё на линии: положите трубку и проверьте отдельно. То же относится и к номеру на экране: INCIBE объясняет, что его можно подделать, в том числе чтобы имитировать электрокомпании.
IBAN: что проверять и сколько времени есть, чтобы потребовать возврат
IBAN нельзя использовать для входа в интернет-банк, но он может фигурировать в прямом дебете, который вы не подписывали. Защита проста и эффективна: проверяйте свои списания.
Точка зрения этого сайта: ваша банковская выписка уже показывает несанкционированные списания
За сервис мониторинга платить не нужно. Каждый прямой дебет SEPA в выписке показывает название получателя, который его собирает. Раз в месяц просматривайте списания за последние несколько месяцев и отмечайте те, которых не узнаёте. Поскольку у вас есть 13 месяцев, чтобы отменить несанкционированное списание, ежемесячная проверка оставляет достаточный запас. Если приложение вашего банка может уведомлять о каждом списании, включите это: так вы быстрее всего заметите подозрительное.
Для компаний, которые хранят номера удостоверений личности и IBAN, вывод другой: эти данные нельзя «сбросить», как пароль, поэтому ограничивайте, кто может их просматривать, и сколько записей можно получить за раз. Мы рассматриваем это в минимальном базовом уровне безопасности для организаций, а правовые рамки — в что такое GDPR?.
Ближайшая параллель в этом году — утечка у Odido в Нидерландах, где также утекли IBAN и номера удостоверений личности, и голландские власти дали очень похожие рекомендации: не спешите заменять документы, проверяйте прямые дебеты и не доверяйте тем, кто «знает» ваши номера. Случай, когда настоящая программа компенсаций сделала поддельные сообщения убедительнее, — см. утечку TVING в Южной Корее.
Источники (открытые данные)
Факты в этой статье основаны на следующих открытых источниках. Утверждения атакующих и неопубликованные цифры не используются.
- Endesa Energía, уведомление клиентов об инциденте безопасности (на испанском) — endesa.com
- INCIBE, «Endesa notifica a sus clientes una filtración de datos personales» (13 января 2026, на испанском) — incibe.es
- INCIBE, Tu Ayuda en Ciberseguridad (линия 017, на испанском) — incibe.es / «Spoofing telefónico: cuando la llamada parece legítima» (подмена номера телефона: когда звонок кажется законным) — incibe.es
- Endesa, «Llamadas fraudulentas: cómo detectarlas y cómo actuar» (обновлено 31 марта 2026, на испанском: мошеннические звонки — как их распознать и что делать) — endesa.com / «Comprueba quién te ha llamado» (проверьте, кто вам звонил) — endesa.com
- AEPD, «Ejerce tus derechos» (осуществите свои права, на испанском) — aepd.es
- Банк Испании (Портал банковского клиента), «Adeudos domiciliados» (прямые дебеты, на испанском) — clientebancario.bde.es / «Custodia tus datos: conoce los riesgos de la suplantación de identidad» (берегите свои данные: риски кражи личности) — clientebancario.bde.es / CIRBE — clientebancario.bde.es
- Национальная полиция, Oficina Virtual de Denuncias (онлайн-офис подачи заявлений, на испанском) — denuncias.policia.es
- BleepingComputer, «Spanish energy giant Endesa discloses data breach affecting customers» (12 января 2026; использовано только для даты) — bleepingcomputer.com
История обновлений
2026-09-30: Первая версия, основанная на уведомлении Endesa Energía (проверено 30 сентября 2026 года; число затронутых не опубликовано), оповещении INCIBE от 13 января 2026 года и рекомендациях AEPD, Банка Испании и Национальной полиции.
Читайте далее
- Ближайшая параллель: Утечка данных Odido (утекли IBAN и номера удостоверений личности)
- Поддельные звонки и сообщения: Что такое фишинг? / Поддельные предупреждения о вирусах (мошенничество под видом техподдержки)
- Защита ваших аккаунтов: Как выбрать менеджер паролей / Как выбрать многофакторную аутентификацию
- Другие инциденты 2026 года: Утечка данных TVING / Список утечек и кибератак (Япония и весь мир)
- Для операторов: Минимальный базовый уровень безопасности для организаций