A principios de 2026, el grupo energético español Endesa y su filial Energía XXI confirmaron un ciberataque que comprometió datos personales sensibles de clientes, incluidos números de DNI, contactos telefónicos y cuentas bancarias (IBAN). La compañía notificó la brecha a los usuarios afectados y a la autoridad regulatoria de protección de datos respectiva, activando protocolos de seguridad para contener la incidencia y monitorear posibles intentos de uso fraudulento de la información. Aunque las contraseñas no se vieron vulneradas y no se detectó actividad fraudulenta inicial, la exposición de datos de millones de clientes generó preocupación sobre posibles campañas de phishing y suplantación de identidad dirigidas a consumidores.
Este incidente subraya cómo los ciberataques en el sector energético ya no solo ponen en riesgo sistemas de generación o transmisión de energía, sino también la privacidad y seguridad financiera de los usuarios finales. Empresas con grandes volúmenes de datos personales deben, además de proteger sus redes operativas, asegurar sus plataformas de gestión comercial y atención al cliente con controles robustos, cifrado de datos y respuesta ante incidentes de fuga de información. La transparencia en la comunicación con los clientes y el refuerzo de medidas preventivas se vuelven esenciales para mantener la confianza del público y reducir los efectos colaterales de brechas de seguridad.