Gana Energía niega la fuga de dos millones de datos que un hacker dice vender en la dark web

Un ciberdelincuente ha puesto a la venta en un foro de la dark web una base de datos que atribuye a la comercializadora energética Gana Energía, con más de dos millones de registros de clientes. La empresa, participada mayoritariamente por Repsol, asegura que no ha sufrido ninguna fuga de información y que esos datos no salen de sus sistemas.

El vendedor publicó el anuncio en un foro clandestino y ofrece negociar la operación a través de Telegram, según avanza Escudo Digital. Sostiene que la información procede de los sistemas de gestión de clientes y contratos de la compañía.

Según el propio anuncio, los registros incluirían:

• Identificación personal: nombres, apellidos, DNI/NIF y fechas de nacimiento.
• Datos de contacto: direcciones postales, teléfonos y correos electrónicos.
• Información bancaria: números IBAN y otros datos relacionados con los pagos.
• Contratos y facturación: suministro de luz y gas, facturación y gestión de cuentas.

Para respaldar la autenticidad de la oferta, el vendedor ha compartido un archivo de muestra con parte de la información, una práctica habitual en este tipo de anuncios para generar confianza entre posibles compradores.

Te interesa: opiniones sobre Gana Energía

La respuesta de Gana Energía

Gana Energía niega que se trate de una filtración propia. La compañía ha analizado la lista y ha explicado que “hemos analizado los datos que están en esa lista y podemos confirmar que no se trata de una fuga nuestra, ni de ningún ataque, ni nada que afecte a datos de clientes de Gana Energía”.

Según la empresa, buena parte de los productos que aparecen en el lote corresponden a otras grandes comercializadoras. Su hipótesis es que la base de datos proceda de una asesoría energética que trabaja para múltiples compañías del sector, no de las grandes firmas ni de Gana Energía: “Lo más probable es que se trate de una base de datos de alguna asesoría energética que hace ventas para multitud de comercializadoras, pero no es ni de las grandes, ni nuestra”.

Una cifra que no cuadra con sus clientes reales

Gana Energía alcanzó los 525.000 clientes en abril, tras crecer un 67,8% en el último año, según ha explicado la propia compañía. La cifra queda muy por debajo de los dos millones de registros que el vendedor asegura tener en su poder.

Esa diferencia no descarta por sí sola la veracidad del archivo. Una base de datos interna puede incluir varios registros por cliente: distintos contratos de luz y gas, históricos de facturas, cambios de titular o tablas de gestión relacionadas, además de clientes antiguos o solicitudes que nunca llegaron a formalizarse.

No es el primer caso del sector este año

Gana Energía es la cuarta comercializadora eléctrica española señalada este año por un supuesto actor de amenazas activo en foros clandestinos. Antes fueron objetivo de anuncios similares Endesa, con una base de datos que llegaría a 20 millones de registros, y también Naturgy e Iberdrola, con cifras de 1,8 y 7 millones respectivamente.

El patrón no siempre corresponde a incidentes confirmados. En enero de 2026, Energía XXI, filial de Endesa, sí reconoció un acceso no autorizado a su plataforma comercial que comprometió datos personales de clientes, a diferencia de lo ocurrido ahora con Gana Energía.