Le fournisseur d’énergie Engie confirme une fuite de données touchant certains de ses clients en France. Des pirates ont accédé à une plateforme commerciale utilisée par des partenaires pour prospecter et promouvoir les offres d’électricité et de gaz. Plusieurs informations personnelles et références de contrats ont été exposées.
L’incident concerne un outil externe employé par des partenaires commerciaux d’Engie dans le cadre de leurs activités de prospection. L’entreprise a détecté des accès inhabituels à cette plateforme, puis a coupé l’accès des hackers. Engie précise que son système informatique interne n’a pas été touché par l’intrusion.
Le groupe n’a pas communiqué le nombre de clients concernés ni identifié publiquement le partenaire ou la plateforme à l’origine de l’incident. Il indique à BleepingComputer que la fuite se limite à des clients situés en France. Les autorités compétentes ont été informées et les personnes touchées ont été contactées individuellement.
Quelles données personnelles ont été piratées ?
Les e-mails adressés aux clients concernés précisent la nature des informations consultées par les pirates. Elles comprennent notamment :
- nom et prénom
- adresses postale et électronique
- numéro de téléphone
- identifiant client et le numéro de contrat
- référence du point de livraison (PDL) pour l’électricité ou du point de comptage et d’estimation (PCE) pour le gaz.
Engie affirme qu’aucune donnée bancaire n’a été volée et que les informations concernées se limitent aux coordonnées des clients et à certaines données relatives à leurs contrats d’énergie.
Ces informations peuvent malgré tout faciliter des tentatives de phishing. Un fraudeur qui connaît le nom d’un client, son adresse et ses références de contrat peut se présenter comme un conseiller Engie ou comme un représentant d’un partenaire commercial. Il peut ensuite tenter d’obtenir des coordonnées bancaires, un mot de passe ou un paiement sous prétexte d’une régularisation ou d’un remboursement.
Les clients doivent donc se méfier des appels, SMS et e-mails, même si leur interlocuteur semble connaître leur dossier. En cas de doute, il est préférable de mettre fin à l’échange et de contacter Engie par un canal officiel en utilisant les coordonnées figurant sur une facture ou dans l’espace client. Ne communiquez jamais de mot de passe ni de code de validation reçu par SMS à une personne qui vous contacte.
Engie indique avoir averti les clients concernés et leur avoir rappelé les précautions à prendre. À ce stade, l’entreprise n’a pas attribué l’attaque à un groupe de pirates identifié. De même, aucun hacker n’a revendiqué la cyberattaque pour le moment.
