La société énergétique française ENGIE a confirmé que des hackers ont volé des informations clients après avoir obtenu un accès non autorisé à une plateforme marketing utilisée par ses partenaires commerciaux. L’incident a touché des clients en France, bien que l’entreprise n’ait pas divulgué combien de personnes ont vu leurs informations compromises.
Contrairement aux attaques qui pénètrent directement le réseau interne d’une entreprise, cette faille impliquait une plateforme distincte soutenant l’acquisition de clients et la promotion des contrats énergétiques. ENGIE a indiqué BleepingComputer que ses systèmes informatiques internes n’avaient pas été compromis et que l’accès des attaquants à la plateforme concernée avait été interrompu.
Les informations volées incluent les noms des clients, les adresses postales, les adresses e-mail et les numéros de téléphone. Selon les notifications de violation, les dossiers exposés contenaient également des numéros d’identification client, des références contractuelles et des identifiants associés aux points d’approvisionnement en électricité et gaz.
Ces identifiants, connus en France sous le nom de numéros PDL et PCE, servent à identifier les points de distribution d’électricité et les points de comptage du gaz. Bien qu’il ne s’agisse pas de documents de paiement, ils pourraient rendre les communications frauduleuses plus convaincantes lorsqu’elles sont combinées à d’autres informations personnelles.
ENGIE a souligné que les informations bancaires n’ont pas été affectées par l’incident. L’entreprise a également informé les autorités concernées et contacté individuellement les clients concernés, fournissant des informations sur la violation et les risques potentiels.
Les informations exposées pourraient être particulièrement utiles pour les tentatives de phishing et d’usurpation d’identité. Les criminels possédant des informations clients et contractuelles authentiques peuvent être capables d’envoyer des messages convaincants concernant des factures d’énergie impayées, la vérification de compte ou des modifications des contrats de service.
Les clients recevant des communications inattendues prétendant représenter ENGIE doivent donc vérifier les demandes via les canaux officiels de l’entreprise. Les messages demandant des informations bancaires, des mots de passe ou des paiements urgents méritent un examen particulier, même s’ils contiennent des informations de compte exactes.
L’entreprise n’a pas expliqué comment les attaquants ont initialement compromis la plateforme marketing. Elle n’a pas non plus identifié le prestataire de services concerné, ni divulgué la durée de l’accès non autorisé, ni attribué l’intrusion à un groupe de menace particulier.
Au 27 octobre 2026, aucune opération de ransomware ou d’extorsion n’avait publiquement revendiqué la responsabilité de l’incident. Aucune preuve confirmée n’avait non plus relié la violation à des allégations précédemment signalées concernant une autre entreprise liée à ENGIE.
ENGIE opère dans 30 pays et emploie plus de 90 000 personnes, ce qui en fait l’un des principaux fournisseurs d’énergie d’Europe. Son vaste réseau de partenaires commerciaux illustre comment des informations sensibles des clients peuvent être exposées via des services externes même lorsque l’infrastructure principale d’une entreprise reste sécurisée.