适用对象：收到事件通知的西班牙现任及前任 Endesa 客户，以及接到“来自电力公司”的电话、且对方知道其身份证号码的任何人。本文基于 Endesa Energía 的官方通知，以及 INCIBE（西班牙国家网络安全研究所）、AEPD（西班牙数据保护局）、西班牙银行和国家警察局的指导意见。本文不涉及攻击的具体实施方式。
客户今天应该做什么
阅读通知，并询问哪些数据受到影响
Endesa 表示，已通知所有数据遭泄露的客户。如果你不确定自己的情况，可以写信给 Endesa Energía 的数据保护官（contactodpo@endesa.es）。根据 AEPD 的说明，访问权是免费的，公司必须在一个月内答复（复杂情况下可再延长两个月）。如需举报可疑情况，Endesa 提供的电话为 800 760 366。请自行联系这些渠道；不要回复以“Endesa 名义”发来的消息。
如果有人自称“来自 Endesa”，请挂断电话，自行拨打官方号码
INCIBE 的建议很简单：如有怀疑，请挂断电话，自行拨打官方号码联系对方。Endesa 网站提供一项名为“Comprueba quién te ha llamado”（查询谁给你打过电话）的查询功能，可告诉你某个号码是否获 Endesa Energía 授权。但 INCIBE 警告，屏幕上显示的号码可能是伪造的（电话号码欺骗），因此号码与 Endesa 名单相符并不足以证明什么：最安全的核实方法是挂断电话并自行拨打。
绝不要提供短信验证码或银行信息，也不要“确认”你的资料
Endesa 表示，它绝不会在未经请求的来电中要求你核实资料；只有在你签署或变更合同时，才会索取相关信息。在 Endesa 的诈骗电话指南中，声称要“通过短信发送安全码”以“核实你的合同”的来电者，正是其所描述的警示信号之一。对于有关欠款、停供或罚款的短信，同样不要点击其中的链接（参见什么是网络钓鱼？）。
检查账户中的直接扣款
查看账单中是否有你不认识的债权人发起的直接扣款（recibos domiciliados）。根据西班牙银行的说明，Royal Decree-law 19/2018 赋予你申请退款的权利：如果你未授权该笔扣款，你有13 个月的时间；如果已授权，则根据法律规定的条件，期限为 8 周。请向你的银行申请退款，并说明原因。
如果怀疑有人以你的名义办理贷款，请查询 CIRBE
如果你怀疑有人以你的名义办理了贷款、信贷或担保，西班牙银行建议你查询其中央信贷登记处（CIRBE）。你自己的报告是免费的，详细版本会显示每项业务由哪家机构办理。
如发生欺诈：报警、联系银行并向 AEPD 反映
前往国家警察局或民警（Guardia Civil）岗位提交报案（denuncia）。国家警察局允许你通过其在线报案办公室（Oficina Virtual de Denuncias）开始报案，然后到警察局签署（须在 72 小时内完成）。请通知你的银行以及交易发生的公司。涉及数据保护事务时，主管机构为 AEPD。如需咨询，INCIBE 的 017 热线免费且保密（也可通过 WhatsApp 发送至 900 116 117），每天上午 8 点至晚上 11 点提供服务。
密码未泄露，但也不要重复使用
Endesa 表示密码未被泄露。即便如此，INCIBE 仍建议每项服务都使用强密码且互不相同。如果你在其他地方使用了相同的密码，请在那些地方更改。密码管理器可以让这件事变得容易。
DNI + 联系方式 + 合同
→ “电价变更”“停电通知”或“欠款”的来电或短信，对方已知道你是谁
核查：挂断电话，自行拨打官方号码
IBAN
→ 你从未授权的直接扣款
核查：对账单上的扣款进行检查（最长可在 13 个月内申请退款）
DNI + IBAN 同时泄露
→ 以你的名义签订合同的尝试
核查：查询 CIRBE 报告；如遇欺诈，请报警
密码未被泄露（据 Endesa 称）
发生了什么（据 Endesa 和西班牙主管机构）
以下内容来自 Endesa Energía 致客户的通知以及 INCIBE 的警报。Endesa 尚未公布发现日期或受影响人数。
2026 年 1 月 12 日
Endesa Energía 通知客户该事件，并在其网站发布通知（日期据 BleepingComputer）。该公司称发现了对其商业平台的未经授权且非法的访问。1 月 13 日
INCIBE 发布警报“Endesa 通知其客户个人数据泄露”，并标为高度重要。警报称，相关数据涉及与 Endesa 自由市场和受监管市场零售商的合同。初步评估之后
Endesa 向主管机关报告了该事件，包括西班牙数据保护局（AEPD）。其内部及与供应商共同开展的调查仍在进行中。3 月 31 日
Endesa 更新其诈骗电话和短信指南，加入 2026 年的真实案例（如虚构的欠款、“12 小时内停供”）。在该指南中，Endesa 称这些诈骗电话与 Endesa Energía 或其个人数据处理无关。
- 可能已被窃取
- 基本身份信息、联系方式、DNI、与 Endesa Energía 的合同数据，以及部分情况下的支付信息（IBAN）
- 未受影响
- 密码访问数据（据 Endesa，“在任何情况下”均未受影响）
- 欺诈性使用
- 截至通知发布时，Endesa 称没有证据表明数据被用于欺诈
- Endesa 采取的措施
- 立即封锁受影响的访问账户、分析日志、通知受影响客户，并对其系统进行持续的专项监控
- 主管机构
- 已向包括 AEPD 在内的主管机关报告
- 服务
- 据公司称，运营和服务正常进行
- 官方联系方式
- 客户热线 800 760 366 · 数据保护官：contactodpo@endesa.es
如何理解：“没有欺诈使用的证据”并不等于“没有风险”
Endesa 自己的通知列出了风险：有人可能会冒充你或盗用你的身份，公开数据，或将其用于网络钓鱼或垃圾信息。因此，该公司要求客户留意可疑信息，并且不要在未亲自确认身份之前向陌生人提供个人数据。风险不会在几周后消失：身份证号和 IBAN 不像密码那样可以重置。
老套的能源诈骗，以及这些数据为何让它更具迷惑性
假冒“能源顾问”的来电并非始于此次泄露事件。Endesa 的指南描述了常见的话术：
- “电价正在上涨，你应该更换供应商”
- “此次变更意味着更换账单公司”
- “我们来核实你的合同信息，你会收到一条带验证码的短信”
- 以期限为由威胁停供或罚款
同一指南警告，诈骗者通常掌握你的个人数据，例如你的 DNI、电话号码或地址，并利用这些信息赢得你的信任。
假冒来电的迹象
- “我们是与 Endesa 有关联的零售商”或“与你的电力公司有合作”
- 说出你的 DNI 或地址，以显得可信
- 施压：涨价、数小时内停供、罚款
- 索取短信验证码或你的银行信息
- 声称自己是配电公司，要为你更换零售商
Endesa 表示其做法
- 始终表明自己是 Endesa Energía
- 不会在未经请求的来电中要求你核实资料
- 只有在你签署或变更合同时才索取资料
- 配电公司从不致电要求更换零售商
- 如有疑问：挂断电话，自行联系官方渠道
关键不在于“学会识别骗子”，而在于改变你依据什么来判断来电者是否真实。过去，对方知道你的 DNI 和合同信息，可以被视为其为你供应商的合理迹象。经历这样的泄露之后，这一迹象已经失去价值。
在通话过程中，不要试图确认来电者是否真实：挂断电话，另行核实。屏幕上的号码同样如此：INCIBE 解释说，号码可以被伪造，包括模仿电力公司的号码。
IBAN：需要检查什么，以及申请退款的期限
IBAN 无法用于登录你的网上银行，但它可能出现在你从未签署的直接扣款中。防范方法虽然乏味，却很有效：查看你的扣款记录。
今年最接近的案例是荷兰的 Odido 泄露事件，其中同样有 IBAN 和身份证号泄露，荷兰主管机关给出的建议与此非常相似：不要急于更换证件，检查直接扣款，并对任何“知道”你的号码的人保持怀疑。如需了解一个真实的补偿计划如何让虚假消息更具说服力的案例，请参见韩国 TVING 泄露事件。
参考来源（公开记录）
本文事实基于以下公开来源。攻击者的说法及未公布的数字均未采用。
- Endesa Energía，关于安全事件的客户通知（西班牙语）— endesa.com
- INCIBE，“Endesa notifica a sus clientes una filtración de datos personales”（2026 年 1 月 13 日，西班牙语）— incibe.es
- INCIBE，Tu Ayuda en Ciberseguridad（017 热线，西班牙语）— incibe.es /“Spoofing telefónico: cuando la llamada parece legítima”— incibe.es
- Endesa，“Llamadas fraudulentas: cómo detectarlas y cómo actuar”（2026 年 3 月 31 日更新，西班牙语）— endesa.com /“Comprueba quién te ha llamado”— endesa.com
- AEPD，“Ejerce tus derechos”（西班牙语）— aepd.es
- 西班牙银行（银行客户门户），“Adeudos domiciliados”（西班牙语）— clientebancario.bde.es /“Custodia tus datos: conoce los riesgos de la suplantación de identidad”— clientebancario.bde.es / CIRBE— clientebancario.bde.es
- 国家警察局，Oficina Virtual de Denuncias（西班牙语）— denuncias.policia.es
- BleepingComputer，“Spanish energy giant Endesa discloses data breach affecting customers”（2026 年 1 月 12 日；仅用于日期）— bleepingcomputer.com
更新记录
2026-09-30：首次发布，依据 Endesa Energía 的通知（2026 年 9 月 30 日核对；未公布受影响人数）、INCIBE 2026 年 1 月 13 日的警报，以及 AEPD、西班牙银行和国家警察局的指导意见。
延伸阅读
- 最接近的案例：Odido 数据泄露（IBAN 和身份证号泄露）
- 假冒来电和消息：什么是网络钓鱼？ / 假病毒警告（技术支持诈骗）
- 保护你的账户：如何选择密码管理器 / 如何选择多因素身份验证
- 2026 年其他事件：TVING 数据泄露 / 数据泄露和网络攻击列表（日本及全球）
- 面向运营者：组织的最低安全基线