Fransız enerji şirketi ENGIE, iş ortaklarının kullandığı bir pazarlama platformuna yetkisiz erişim sağladıktan sonra hackerların müşteri bilgilerini çaldığını doğruladı. Olay, Fransa’daki müşterileri etkiledi, ancak şirket kaç kişinin bilgilerinin ele geçirildiğini açıklamadı.
Doğrudan şirketin iç ağına giren saldırıların aksine, bu ihlal müşteri kazanımı ve enerji sözleşmelerinin teşviki için ayrı bir platformu içeriyordu. ENGIE, BleepingComputer iç BT sistemlerinin ele geçirilmediğini ve saldırganların etkilenen platforma erişiminin sonlandırıldığını söyledi.
Çalınan bilgiler arasında müşterilerin isimleri, posta adresleri, e-posta adresleri ve telefon numaraları yer alıyor. İhlal bildirimlerine göre, ortaya çıkan kayıtlar ayrıca müşteri kimlik numaralarını, sözleşme referanslarını ve elektrik ve gaz tedarik noktalarıyla ilgili kimlikleri içeriyordu.
Fransa’da PDL ve PCE numaraları olarak bilinen bu tanımlayıcılar, elektrik teslimat noktalarını ve gaz sayaj noktalarını tanımlamak için kullanılır. Ödeme belgeleri olmasa da, sahte iletişimleri diğer kişisel bilgilerle birleştirildiğinde daha ikna edici gösterebilirler.
ENGIE, bankacılık bilgilerinin olaydan etkilenmediğini vurguladı. Şirket ayrıca ilgili yetkililere bildirdi ve etkilenen müşterilerle bireysel olarak iletişime geçerek ihlal ve potansiyel riskler hakkında bilgi verdi.
Ortaya çıkan bilgiler, oltalama ve taklit girişimleri için özellikle faydalı olabilir. Gerçek müşteri ve sözleşme bilgilerine sahip olan suçlular, ödenmemiş enerji faturaları, hesap doğrulaması veya hizmet sözleşmelerindeki değişiklikler hakkında ikna edici mesajlar gönderebilir.
ENGIE’yi temsil ettiğini iddia eden beklenmedik iletişimler alan müşteriler, talepleri şirketin resmi kanalları üzerinden doğrulamalıdır. Banka bilgileri, şifreler veya acil ödemeler talep eden mesajlar, doğru hesap bilgileri içerse bile özel incelemeyi hak eder.
Şirket, saldırganların pazarlama platformunu ilk başta nasıl ele geçirdiğini açıklamadı. Ayrıca ilgili hizmet sağlayıcıyı tanımlamadı, yetkisiz erişim süresini açıklamadı veya müdahaleyi belirli bir tehdit grubuna atfetmedi.
27 Ekim 2026 itibarıyla, olayın sorumluluğunu kamuoyuna açıklamayan bir fidye yazılımı veya şantaj operasyonu olmadı. Ayrıca, ihlali daha önce bildirilen başka bir ENGIE ile ilgili iddialarla ilişkilendiren doğrulanmış bir kanıt yoktu.
ENGIE 30 ülkede faaliyet göstermekte ve 90.000’den fazla kişiye istihdam etmekle Avrupa’nın başlıca enerji sağlayıcılarından biri olmaktadır. Geniş ticari ortaklar ağı, bir şirketin birincil altyapısı güvende kalsa bile hassas müşteri bilgilerinin dış hizmetler aracılığıyla nasıl açığa çıkarılabileceğini göstermektedir.