適用對象：收到事件通知的現任與前任西班牙 Endesa 客戶，以及接到「來自電力公司」電話、且對方知道其身分證號碼的任何人。本文依據 Endesa Energía 的官方通知，以及 INCIBE（西班牙國家網路安全機構）、AEPD（西班牙資料保護局）、西班牙銀行與國家警察局的指引撰寫。本文不涵蓋攻擊的執行方式。
客戶今天應該做什麼
閱讀通知，並確認哪些資料受影響
Endesa 表示已通知所有資料遭入侵的客戶。若你不確定自身情況，可寫信至 Endesa Energía 的資料保護長（contactodpo@endesa.es）。根據 AEPD，查閱權是免費的，公司必須在一個月內回覆（複雜案件可再延長兩個月）。如要通報任何可疑情況，Endesa 提供的電話為 800 760 366。請自行透過這些管道聯絡；不要回覆以「Endesa 名義」送來的訊息。
若有人自稱「來自 Endesa」，請掛斷並自行撥打官方號碼
INCIBE 的建議很簡單：有疑慮時，請掛斷電話，並自行撥打官方號碼聯絡對方。Endesa 網站提供一項查詢功能「Comprueba quién te ha llamado」（查看是誰打給你），可確認某個號碼是否獲 Endesa Energía 授權。但 INCIBE 警告，螢幕上顯示的號碼可能是偽造的（電話號碼偽裝），因此號碼符合 Endesa 名單本身並不足夠：最安全的確認方式是掛斷後自行撥號。
切勿提供簡訊驗證碼或銀行資料，也不要「確認」你的資料
Endesa 表示，其不會在未經請求的來電中要求你確認資料；只有在你簽約或變更合約時，才會要求提供資訊。若有人宣稱「會透過簡訊傳送安全碼」以「驗證你的合約」，這正是 Endesa 在其詐騙電話指南中所描述的警訊之一。對於有關欠款、停止供電或罰款的簡訊，也不要點擊其中的連結（請參閱什麼是網路釣魚？）。
檢查帳戶的直接扣款
請查看帳單中，來自你不認識之債權人的直接扣款（recibos domiciliados）。根據西班牙銀行，Royal Decree-law 19/2018 賦予你申請退款的權利：若你未授權該扣款，你有 13 個月的時間；若你已授權，則依法律規定的條件為 8 週。請向你的銀行申請退款，並說明原因。
若懷疑有人以你的名義貸款，請查詢 CIRBE
若你懷疑有人以你的名義申請貸款、信用額度或擔保，西班牙銀行建議查詢其中央信用登記系統（CIRBE）。你本人的報告是免費的，詳細版本會顯示每筆交易是由哪家機構核發。
若發生詐騙：報案、通知銀行，並聯絡 AEPD
請至國家警察局或民防隊（Guardia Civil）駐點提出報案（denuncia）。國家警察局允許你透過其線上報案辦公室（Oficina Virtual de Denuncias）開始報案，之後再到警局簽署（須於 72 小時內完成）。請通知你的銀行，以及交易發生的公司。若涉及資料保護事宜，主管機關為 AEPD。如需諮詢，INCIBE 的 017 專線免費且保密（也可透過 WhatsApp 900 116 117 聯絡），每日上午 8 點至晚上 11 點提供服務。
密碼未外洩，但也不要重複使用
Endesa 表示密碼未遭入侵。即便如此，INCIBE 仍建議每項服務都使用強度高且互不相同的密碼。若你在其他地方使用過相同密碼，請在該處更改。密碼管理工具可讓這件事變得容易。
DNI + 聯絡資料 + 合約
→ 「電價變更」、「停止供電」或「欠款」的電話或簡訊，且對方已知道你是誰
檢查：掛斷並自行撥打官方號碼
IBAN
→ 你從未授權的直接扣款
檢查：帳單上的扣款（最長可在 13 個月內申請退款）
DNI + IBAN 同時外洩
→ 試圖以你的名義簽訂合約
檢查：CIRBE 報告；若為詐騙，請報案
密碼未遭入侵（依 Endesa 說法）
發生了什麼（依 Endesa 與西班牙主管機關）
以下內容取自 Endesa Energía 給客戶的通知以及 INCIBE 的警示。Endesa 尚未公布事件偵測日期或受影響人數。
2026 年 1 月 12 日
Endesa Energía 通知客戶此事件，並在其網站發布通知（日期依 BleepingComputer 報導）。該公司表示已偵測到對其商業平台的未經授權且非法存取。1 月 13 日
INCIBE 發布警示「Endesa 通知客戶個人資料外洩」，標示為高度重要。警示指出，相關資料涉及 Endesa 自由市場與受管制市場售電商的合約。初步評估後
Endesa 已向主管機關通報此事件，包括西班牙資料保護局（AEPD）。其內部及與供應商共同進行的調查仍在進行中。3 月 31 日
Endesa 更新其詐騙電話與簡訊指南，加入 2026 年的實際案例（所謂欠款、「12 小時內停止供電」）。在該指南中，Endesa 表示這些詐騙電話與 Endesa Energía 或其個人資料處理無關。
- 可能已被取走
- 基本身分資料、聯絡資料、DNI、與 Endesa Energía 的合約資料，以及部分情況下的付款資料（IBAN）
- 未受影響
- 密碼存取資料（依 Endesa 說法「在任何情況下皆未」受影響）
- 詐騙性使用
- 截至通知發布時，Endesa 表示沒有證據顯示資料遭詐騙性使用
- Endesa 採取的措施
- 立即封鎖遭入侵的存取帳號、分析日誌、通知受影響客戶，並持續特別監控其系統
- 主管機關
- 已向主管機關通報，包括 AEPD
- 服務狀況
- 依公司說法，營運與服務正常運作
- 官方聯絡方式
- 客服專線 800 760 366 · 資料保護長：contactodpo@endesa.es
如何解讀：「沒有證據顯示詐騙性使用」不等於「沒有風險」
Endesa 自己的通知列出了相關風險：有人可能會假冒你或盜用你的身分、公開這些資料，或將其用於網路釣魚或垃圾訊息。因此該公司要求客戶留意可疑訊息，並且不要把個人資料提供給並非親自認識的人。這種風險不會在幾週後消失：身分證號碼與 IBAN 不像密碼那樣可以重設。
老套的能源詐騙，為何這些資料讓它更具說服力
假冒「能源顧問」的電話並非始於這次外洩。Endesa 的指南描述了常見的話術：
- 「電價正在上漲，您應該更換供應商」
- 「這項變更意味著帳單公司會更換」
- 「我們來電確認您的合約資料；您將收到含有驗證碼的簡訊」
- 以限期施加的停止供電或罰款威脅
同一份指南警告，詐騙者常掌握你的 DNI、電話號碼或地址等個人資料，並藉此贏得你的信任。
假電話的警訊
- 「我們來自與 Endesa 有關聯的售電商」或「與您的電力公司合作」
- 說出你的 DNI 或地址，以顯得合法
- 施壓：漲價、數小時內停止供電、罰款
- 要求提供簡訊驗證碼或你的銀行資料
- 自稱是配電公司，要替你更換售電商
Endesa 表示其會做的事
- 一律以 Endesa Energía 身分表明來電者身分
- 不會在未經請求的來電中要求你確認資料
- 只有在你簽約或變更合約時，才會要求提供資料
- 配電公司從不打電話要求更換售電商
- 若有疑慮：掛斷電話，並自行透過官方管道聯絡
這裡的重點不是「學會辨識詐騙者」，而是改變你憑什麼判斷來電者是真的。過去，有人知道你的 DNI 和合約，被視為他們是你供應商的合理證據。經過這次外洩之後，這個依據已經不可靠。
在通話中不要試圖確認對方是否真實：掛斷，另行查證。螢幕上顯示的號碼也是如此：INCIBE 說明，號碼可以被偽造，包括偽裝成電力公司。
IBAN：要檢查什麼，以及退款的期限有多長
IBAN 無法用來登入你的網路銀行，但它可能出現在你從未簽署的直接扣款上。最有效的防禦方式很平淡：檢查你的扣款。
今年最接近的類似案例是荷蘭的 Odido 外洩事件，其中 IBAN 與身分證號碼同樣外洩，荷蘭主管機關也給出了非常相似的建議：不要急著更換證件、檢查直接扣款，並對任何「知道」你號碼的人保持懷疑。若想了解一個真正的補償方案如何讓假訊息更具說服力的案例，請參閱南韓的 TVING 外洩事件。
資料來源（公開紀錄）
本文事實依據以下公開來源。攻擊者的說法與未公布的數字均未採用。
- Endesa Energía，關於資安事件的客戶通知（西班牙文）— endesa.com
- INCIBE，「Endesa notifica a sus clientes una filtración de datos personales」（2026 年 1 月 13 日，西班牙文）— incibe.es
- INCIBE，Tu Ayuda en Ciberseguridad（017 專線，西班牙文）— incibe.es / 「Spoofing telefónico: cuando la llamada parece legítima」— incibe.es
- Endesa，「Llamadas fraudulentas: cómo detectarlas y cómo actuar」（2026 年 3 月 31 日更新，西班牙文）— endesa.com / 「Comprueba quién te ha llamado」— endesa.com
- AEPD，「Ejerce tus derechos」（西班牙文）— aepd.es
- 西班牙銀行（Banking Customer Portal），「Adeudos domiciliados」（西班牙文）— clientebancario.bde.es / 「Custodia tus datos: conoce los riesgos de la suplantación de identidad」— clientebancario.bde.es / CIRBE — clientebancario.bde.es
- 國家警察局，Oficina Virtual de Denuncias（西班牙文）— denuncias.policia.es
- BleepingComputer，「Spanish energy giant Endesa discloses data breach affecting customers」（2026 年 1 月 12 日；僅用於日期）— bleepingcomputer.com
更新紀錄
2026-09-30：首次發布，依據 Endesa Energía 的通知（於 2026 年 9 月 30 日查核；未公布受影響人數）、INCIBE 2026 年 1 月 13 日的警示，以及 AEPD、西班牙銀行與國家警察局的指引。
延伸閱讀
- 最接近的類似案例：Odido 資料外洩事件（IBAN 與身分證號碼外洩）
- 假電話與訊息：什麼是網路釣魚？ / 假病毒警告（技術支援詐騙）
- 保護你的帳戶：如何選擇密碼管理工具 / 如何選擇多重驗證
- 其他 2026 年事件：TVING 資料外洩事件 / 資料外洩與網路攻擊事件一覽（日本與全球）
- 給營運者：組織的最低安全基準