¡Hola a todos! Sí, sigo vivo. Aunque el blog esté más parado que el Twitter de un ermitaño, hoy me he visto obligado a escribir. Resulta que Endesa ha sufrido un ciberataque y, adivinad quién estaba en la lista de datos «exfiltrados»… ¡exacto, un servidor! Y lo más gracioso (con humor negro, claro) es que ya ni siquiera soy cliente suyo.
Como sé que a muchos os habrá llegado el dichoso email y estaréis con la mosca detrás de la oreja por vuestro DNI o el IBAN, he decidido moverme. He consultado con mi «socio» de IA (Gemini) y he trazado un plan de acción que he compartido en Forocoches, pero aquí os lo dejo mascadito paso a paso.
¿Sirve de algo? Pues mira, con el lío de The Phone House se movieron cosas. Mejor tener el escudo legal puesto que quedarse de brazos cruzados.
Paso 1: El «recadito» a Endesa
Lo primero es pedir explicaciones. He enviado un email a su Delegado de Protección de Datos exigiendo saber qué tienen exactamente de mí. No hace falta que escribáis El Quijote, usad este texto:
Asunto: Ejercicio de derechos RGPD – Incidente de Seguridad Endesa Energía
Estimada Endesa:
Como afectado por el incidente de seguridad comunicado por su entidad, y al amparo del Reglamento General de Protección de Datos (RGPD), les solicito formalmente la siguiente información:
Confirmación y detalle: Qué datos exactos de mi persona se han filtrado (DNI, IBAN, contacto, etc.).
Origen y medidas: Cuál fue la causa del fallo y qué han cambiado para que no vuelva a ocurrir.
Riesgos: Valoración real del riesgo de suplantación de mi identidad.
Hago constar mi reserva de acciones legales en caso de que se produzca un uso fraudulento de mis datos debido a una falta de diligencia en su seguridad.
Espero su respuesta por escrito en el plazo legal de un mes.
Atentamente, (tu nombre).
Paso 2: Papeles preparados
Guardad en PDF tanto el email que os mandaron ellos avisando del hackeo como el que acabáis de enviar vosotros. Son vuestras pruebas de cargo.
Paso 3: Denuncia oficial en la AEPD
Aquí es donde nos ponemos serios. Hay que ir a la Sede Electrónica de la Agencia Española de Protección de Datos. El proceso es un poco «farragoso» (típico de la administración), pero aquí tenéis la chuleta:
-
Logueo como un usuario: Usa Cl@ve o certificado digital o DNI electrónico.
-
Ruta: Reclamaciones > Otros > Electrónico.
-
Identificación del reclamado: Aquí poned los datos de Endesa
- Marca Persona Jurídica o Entidad Sin Personalidad Jurídica.
- Razón Social: Endesa Energía, S.A.U.
- NIF: A81948077
- Página Web: www.endesa.com
- Correo electrónico: contactodpo@endesa.es
- Dirección: Calle Ribera del Loira, 60
- País: España
- Código Postal: 28042
- Provincia: Madrid
- Localidad: Madrid
4. Los Hechos: En «Aclaración de hechos» elijo «Resto de reclamaciones», «Medidas de seguridad», «Internet» y en «descripción de los hechos» pongo el siguiente mensaje:
«He sido notificado por la empresa Endesa Energía S.A. con fecha 13/01/2026 mediante correo electrónico, informándome de que han sufrido un grave incidente de seguridad en su plataforma comercial. Según la comunicación recibida, este ciberataque ha permitido el acceso no autorizado y la posible exfiltración de mis datos personales sensibles, incluyendo mi DNI y mis datos bancarios (IBAN), a pesar de que ya no mantengo una relación contractual activa con dicha entidad.Presento esta reclamación para que la Agencia investigue la posible falta de medidas de seguridad técnicas y organizativas adecuadas por parte de Endesa para proteger mi información personal. Considero que este fallo de seguridad supone un riesgo alto para mi identidad y mis derechos, facilitando posibles acciones de phishing o suplantación de identidad. Solicito que se depuren responsabilidades por este incidente.» y en «fecha de los hechos» pongo el día de hoy porque no sé cuál poner.
5 . Adjuntos: Subid los dos PDFs que guardamos antes con una pequeña descripción en cada archivo. Ojo, a veces tarda en cargar y tienes que ir uno por uno.
OJO: No os levantéis a por un café mientras lo rellenáis. Si la sesión caduca, da error y toca empezar de cero. ¡Avisados quedáis!
Conclusión
No sé si esto terminará en multa millonaria o en nada, pero al menos tengo mi justificante de la AEPD. Si mañana alguien intenta pedir un crédito a mi nombre con mi DNI filtrado, tengo un papel oficial que dice: «Eh, yo ya avisé de que esto podía pasar».
¡Cuidad vuestros datos, frikis! Y recordad: si recibís SMS raros o llamadas de «vuestro banco» pidiendo claves estos días… ¡NI CASO!
