Fuite de données et cyberattaque d'Endesa : ce qu'il s'est passé et ce que les clients doivent savoir

Le plus grand fournisseur d'électricité d'Espagne, Endesa, a fait l'objet d'un examen sérieux concernant la sécurité des données de ses clients à la suite d'une amende réglementaire majeure et d'une cyberattaque plus récente ayant touché ses systèmes commerciaux.

Ensemble, ces incidents ont soulevé des questions sur la sécurité avec laquelle les grandes entreprises énergétiques protègent les informations personnelles et financières de millions de clients.

Bien qu'Endesa reste l'un des fournisseurs d'électricité dominants en Espagne, ces événements mettent en lumière un enjeu de plus en plus important sur le marché de l'énergie moderne : la sécurité des données au sein des services publics.

L'amende de 6,1 millions d'euros au titre du RGPD

Fin 2023, l'Agence espagnole de protection des données (AEPD) a infligé une sanction importante à Endesa après avoir identifié de graves lacunes dans ses systèmes de protection des données.

L'enquête a déterminé que les données personnelles d'environ 6 millions de clients avaient été exposées en raison de mesures de sécurité inadéquates.

According to the regulator, the failures included:

•sauvegardes techniques insuffisantes pour protéger les bases de données clients
•faiblesses dans les systèmes internes gérant les données contractuelles
•manquement à assurer correctement la confidentialité des informations personnelles

L'AEPD a jugé qu'Endesa n'avait pas mis en œuvre les contrôles de sécurité appropriés requis par le Règlement général sur la protection des données (RGPD) de l'UE.

En conséquence, l'entreprise a reçu une amende de 6,1 millions d'euros, l'une des plus lourdes sanctions en matière de protection des données jamais imposées dans le secteur énergétique espagnol.

Selon les informations disponibles, les données exposées comprenaient des détails d'identification personnelle et des données liées aux contrats d'électricité et de gaz.

La cyberattaque de 2026 sur les systèmes clients

Plus récemment, en janvier 2026, Endesa a confirmé avoir subi une cyberattaque ayant touché les systèmes utilisés pour gérer les contrats des clients.

Selon les rapports, la brèche a permis un accès non autorisé à une plateforme commerciale connectée aux données des comptes clients.

Potential Data Exposure:

•noms et coordonnées des clients
•numéros d'identification (DNI/NIE)
•informations sur les contrats
•coordonnées bancaires, y compris les numéros IBAN

Des chercheurs en sécurité ont rapporté par la suite que des millions de dossiers auraient été mis en vente sur des forums du « dark web », bien que le nombre exact de clients touchés n'ait pas été officiellement confirmé.

Endesa dessert actuellement environ 10 millions de clients d'électricité en Espagne, lo qui signifie que l'incident pourrait potentiellement affecter une partie importante de sa base d'utilisateurs.

Ce qu'Endesa a fait

À la suite de la cyberattaque, l'entreprise a déclaré avoir pris des mesures immédiates pour sécuriser ses systèmes.

blocage des points d'accès compromis
lancement d'une enquête interne sur la cybersécurité
notification aux autorités espagnoles de protection des données
information des clients potentiellement concernés par la fuite

Les clients ont également été avertis de faire preuve d'une vigilance accrue face aux e-mails de phishing ou aux appels téléphoniques suspects prétention venir d'Endesa.

D'autres sanctions sont-elles possibles ?

Au moment de la rédaction de cet article, aucune amende réglementaire n'a encore été annoncée concernant la cyberattaque de 2026.

Cependant, l'incident est susceptible d'être examiné par l'AEPD au titre des règles du RGPD. Si les régulateurs déterminent que les mesures de sécurité étaient insuffisantes, des sanctions supplémentaires pourraient suivre.

Selon la législation européenne sur la protection des données, les amendes peuvent atteindre jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial d'une entreprise, le montant le plus élevé étant retenu.

Pourquoi c'est important pour les clients de l'énergie

Les fournisseurs d'énergie détiennent une quantité importante de données sensibles sur les clients, notamment des pièces d'identité, des adresses, l'historique de facturation et des informations bancaires.

À mesure que le secteur se numérise, la cybersécurité est devenue aussi importante que le prix et la fiabilité du service.

Des incidents comme celui-ci soulignent pourquoi les clients doivent toujours être prudents lorsqu'ils reçoivent des e-mails ou des appels inattendus concernant leur compte d'énergie.

Conseils aux clients

Si vous êtes client d'Endesa, les experts recommandent :

Pour plus d'informations sur la manière de protéger votre compte d'énergie et de comprendre comment se produisent les changements non autorisés, lisez notre guide complet sur la Sécurité des comptes d'énergie en Espagne.

surveiller votre compte bancaire pour détecter toute transaction inhabituelle
ignorer les e-mails inattendus demandant des données personnelles
vérifier les communications directement via les canaux officiels d'Endesa
changer les mots de passe associés à votre compte d'énergie

Perspective de l'industrie

Bien qu'Endesa ne soit pas la seule entreprise de services publics confrontée à des défis de cybersécurité, cette affaire démontrent l'ampleur du risque pour les entreprises gérant des millions de dossiers clients.

Pour les consommateurs, la transparence et des pratiques solides de protection des données deviennent un facteur de plus en plus crucial lors du choix d'un fournisseur d'énergie.

À propos d'Uswitch Energy

Uswitch Energy fournit une analyse indépendante des tarifs d'électricité en Espagne et aide les ménages et les entreprises à comprendre leurs coûts énergétiques.

Analyse gratuite de ma facture d'électricité

Questions fréquemment posées

Quelles données ont été exposées lors de la fuite d'Endesa ?

Selon les rapports, les informations exposées comprenaient les noms, les numéros d'identification, les coordonnées, les informations contractuelles et, dans certains cas, les coordonnées bancaires, y compris les numéros IBAN.

Combien de clients d'Endesa ont été touchés ?

Une amende RGPD précédente a touché environ 6 millions de clients. Pour la cyberattaque de 2026, bien que des millions de dossiers aient été impliqués, le nombre exact d'individus concernés n'a pas été officiellement confirmé.

Endesa a-t-elle été condamnée à une amende pour cette fuite ?

Oui, Endesa a reçu une amende de 6,1 millions d'euros de l'AEPD pour des failles de sécurité ayant touché 6 millions de clients. Les régulateurs devraient également examiner la cyberattaque plus récente de 2026.

Que doivent faire les clients d'Endesa maintenant ?

Les clients doivent surveiller leurs comptes bancaires pour détecter toute activité suspecte, ignorer les demandes inattendues de données personnelles et mettre à jour immédiatement les mots de passe de leurs comptes d'énergie.

Guides associés

See all guides