Relu par Fitia, Rédactrice en chef
Engie confirme une fuite de données chez des clients en France. L’incident vient d’un outil commercial externe, exploité par des partenaires du fournisseur. Des coordonnées et des références de contrats ont été consultées sans autorisation. Engie indique que les données bancaires ne sont pas touchées.
Les noms, adresses, courriels, téléphones et références énergétiques figurent parmi les données exposées. Le risque prioritaire concerne les faux messages ou appels, plus crédibles grâce aux détails contractuels. Engie dit avoir coupé l’accès à la plateforme et notifié la CNIL. Le nombre de personnes concernées et le nom du prestataire ne sont pas connus.
Pour les entreprises, cet incident rappelle qu’un prestataire peut élargir le risque au-delà du système interne. Les données personnelles liées à l’énergie peuvent servir à une fraude ciblée, même sans mot de passe ni coordonnées bancaires. Un courriel qui cite un numéro de contrat ou un point de livraison mérite donc une vérification indépendante. Cette affaire s’inscrit dans une série de fuites qui touchent des organismes et des sociétés de secteurs variés, comme le montre le cas de la fuite de données chez Carrefour.
Fuite de données Engie : faits établis
Engie a informé une partie de ses clients par courriel. L’accès non autorisé concerne un outil commercial utilisé par des partenaires du groupe. Selon les éléments communiqués, les systèmes internes d’Engie ne sont pas à l’origine de l’incident informatique. L’entreprise affirme avoir fermé l’accès des pirates à la plateforme touchée.
Les données exposées incluent les noms, les adresses postales, les courriels et les numéros de téléphone. Des éléments liés aux contrats d’énergie figurent aussi dans le périmètre connu. Les références concernées peuvent inclure le numéro client, le numéro de contrat, le PDL pour l’électricité et le PCE pour le gaz. Engie précise qu’aucune coordonnée bancaire n’a été affectée et que les mots de passe ne semblent pas concernés.
Le fournisseur n’a pas révélé le nom du prestataire ni le nombre de clients touchés. Le périmètre exact de l’accès et la durée de l’intrusion restent inconnus. Aucun groupe de pirates n’a revendiqué l’opération, d’après les informations fournies. Rien ne permet non plus d’affirmer que les données ont été publiées ou vendues sur le dark web.
| Élément | Information connue |
|---|---|
| Origine | Outil commercial externe utilisé par des partenaires |
| Données exposées | Coordonnées et références liées aux contrats d’énergie |
| Données exclues selon Engie | Coordonnées bancaires ; mots de passe non signalés comme touchés |
| Périmètre | Nombre de clients et prestataire non précisés |
Quels risques pour les clients en France ?
Le risque principal est l’hameçonnage ciblé par courriel, SMS ou téléphone. Un escroc peut reprendre le nom d’un client et citer son contrat d’énergie. La mention d’un PDL ou d’un PCE peut donner une apparence légitime à un faux conseiller. Cette précision rend la vérification des demandes plus délicate.
Un message peut annoncer une facture impayée, un changement de contrat ou une intervention urgente. Il peut aussi inviter la personne à ouvrir un lien ou à rappeler un faux service client. Une entreprise ou un particulier ne doit pas transmettre de mot de passe ni de coordonnées bancaires après un contact imprévu. Pour les bons réflexes, consultez les conseils de la CNIL face à une fuite.
En cas de doute, il faut éviter le lien reçu et saisir soi-même l’adresse du site officiel. Le client peut ensuite vérifier ses factures et ses contrats dans son espace habituel. Un appel se contrôle avec le numéro publié sur une facture ou sur le site officiel. Ce réflexe réduit le risque d’usurpation, même si le message cite des données exactes.
Prestataires : les mesures de sécurité à revoir
Le cas Engie montre que la cybersécurité dépend aussi des outils confiés aux partenaires. Un accès commercial peut contenir des informations assez précises pour alimenter une fraude. Les PME et ETI qui délèguent la prospection doivent donc connaître les données accessibles à chaque prestataire. La protection des données repose aussi sur le contrôle de ces accès.
Les responsables doivent vérifier les droits accordés aux comptes externes et retirer ceux qui ne servent plus. Des journaux d’accès utiles facilitent la détection d’une activité anormale. Les contrats avec les fournisseurs doivent préciser les délais de signalement et les mesures de sécurité. Le cas d’une fuite touchant l’IFAPME rappelle que les structures tierces entrent aussi dans le périmètre de défense.
La notification à la CNIL est annoncée par Engie, conformément aux obligations applicables. Pour les entreprises, l’incident invite à examiner les échanges de données avec les prestataires, sans attendre une alerte. Il faut aussi préparer une réponse claire pour les personnes touchées et leurs équipes d’assistance. La confidentialité ne dépend pas uniquement des serveurs internes : elle exige un suivi des accès tout au long de la chaîne.
