Het Franse energiebedrijf ENGIE heeft bevestigd dat hackers klantinformatie hebben gestolen nadat ze ongeautoriseerde toegang kregen tot een marketingplatform dat door zijn zakenpartners werd gebruikt. Het incident trof klanten in Frankrijk, hoewel het bedrijf niet heeft bekendgemaakt hoeveel personen hun informatie gecompromitteerd hadden.
In tegenstelling tot aanvallen die direct het interne netwerk van een bedrijf binnendringen, betrof deze inbreuk een apart platform dat klantacquisitie en de promotie van energiecontracten ondersteunde. ENGIE liet weten BleepingComputer dat de interne IT-systemen niet waren gecompromitteerd en dat de toegang van de aanvallers tot het getroffen platform was beëindigd.
De gestolen informatie omvat de namen van klanten, postadressen, e-mailadressen en telefoonnummers. Volgens meldingen over dataleken bevatten de blootgestelde gegevens ook klantidentificatienummers, contractreferenties en identificatienummers die verbonden zijn aan elektriciteits- en gasvoorzieningen.
Deze identificaties, in Frankrijk bekend als PDL- en PCE-nummers, worden gebruikt om elektriciteitsleveringslocaties en gasmeetpunten te identificeren. Hoewel het geen betalingsgegevens zijn, kunnen ze frauduleuze communicatie overtuigender doen lijken wanneer ze worden gecombineerd met andere persoonlijke gegevens.
ENGIE benadrukte dat bankinformatie niet door het incident is getroffen. Het bedrijf heeft ook de relevante autoriteiten geïnformeerd en persoonlijk contact opgenomen met getroffen klanten, waarbij het informatie verstrekt over het datalek en mogelijke risico’s.
De blootgestelde informatie kan bijzonder nuttig zijn voor phishing- en imitatiepogingen. Criminelen met authentieke klant- en contractgegevens kunnen overtuigende berichten sturen over onbetaalde energierekeningen, accountverificatie of wijzigingen in serviceovereenkomsten.
Klanten die onverwachte communicatie ontvangen waarin wordt beweerd ENGIE te vertegenwoordigen, dienen daarom verzoeken via de officiële kanalen van het bedrijf te verifiëren. Berichten waarin bankgegevens, wachtwoorden of dringende betalingen worden geëist, verdienen bijzondere controle, zelfs wanneer ze correcte rekeninginformatie bevatten.
Het bedrijf heeft niet uitgelegd hoe de aanvallers aanvankelijk het marketingplatform hebben gecompromitteerd. Het heeft ook de betrokken dienstverlener niet geïdentificeerd, de duur van ongeautoriseerde toegang niet bekendgemaakt, of de inbraak toegeschreven aan een bepaalde dreigingsgroep.
Per 27 oktober 2026 had geen enkele ransomware- of afpersingsoperatie publiekelijk de verantwoordelijkheid voor het incident opgeëist. Er was ook geen bevestigd bewijs dat de inbreuk verband hield met eerder gerapporteerde beschuldigingen tegen een ander ENGIE-gerelateerd bedrijf.
ENGIE is actief in 30 landen en heeft meer dan 90.000 medewerkers in dienst, waarmee het een van Europa’s grootste energieleveranciers is. Het uitgebreide netwerk van commerciële partners laat zien hoe gevoelige klantinformatie via externe diensten kan worden blootgesteld, zelfs als de primaire infrastructuur van een bedrijf veilig blijft.