ENGIE signale une fuite de données clients chez un partenaire, sans dire combien ni lequel

L'e-mail porte la signature d'ENGIE, et ce n'est pas une offre commerciale. D'après le site spécialisé Fuites Infos, qui en a publié une capture dans la nuit du 23 au 24 octobre, le fournisseur d'énergie informe des clients que leurs données personnelles ont fait l'objet d'accès non autorisés. ENGIE l'explique par un acte de cybermalveillance contre un outil utilisé par certains de ses partenaires commerciaux, ceux qui vendent ses offres d'électricité et de gaz.

Selon cette notification, les données concernées sont le nom et le prénom, l'adresse postale, l'adresse e-mail, le numéro de téléphone, l'identifiant client, le numéro de contrat et la référence du compteur : point de livraison pour l'électricité, point de comptage et d'estimation pour le gaz. ENGIE précise que les coordonnées bancaires ne sont pas touchées.

Combien de clients, et quels partenaires ?

ENGIE ne le dit pas. Le fournisseur ne nomme ni les partenaires ni l'outil attaqué, ne donne pas le nombre de clients touchés et ne date ni l'intrusion ni sa découverte. Aucune revendication de pirates n'était connue à ce stade, selon Fuites Infos.

Le scénario n'est pas nouveau pour le groupe. En 2023, Next rapportait, d'après Numerama, qu'un pirate disait avoir récupéré les données de plus de 110 000 clients après l'attaque d'un prestataire d'ENGIE, via le site monespaceprime.engie.fr. Le maillon faible était déjà un tiers, comme lors de la fuite chez les hôteliers passée par le logiciel de réservation Misterbooking.

Pourquoi ces données intéressent les escrocs

Prises une à une, ces informations paraissent banales. Réunies, elles permettent d'écrire un faux message très crédible : un escroc qui connaît votre nom, votre numéro de contrat et la référence de votre compteur peut se faire passer pour ENGIE, ou pour un concurrent, et vous parler d'une « régularisation », d'un remboursement ou d'un changement d'offre. C'est le prolongement le plus probable de ce type de fuite.

Les bons réflexes

Si vous êtes client d'ENGIE, et surtout si vous avez reçu cet e-mail :

• méfiez-vous des e-mails, SMS ou appels qui se réclament d'ENGIE ou d'un partenaire et réclament un paiement ou des informations, même s'ils citent vos vraies références ;
• ne vous connectez jamais à votre espace client par un lien reçu : passez par le site ou l'application officiels ;
• ne communiquez jamais un code reçu par SMS, un mot de passe ou vos coordonnées bancaires à quelqu'un qui vous contacte ;
• transférez les SMS suspects au 33700, et faites-vous aider gratuitement sur cybermalveillance.gouv.fr si vous pensez avoir été piégé.

Reste à savoir combien de clients ont reçu ce message, et quels autres fournisseurs utilisent le même outil de vente. Si d'autres énergéticiens passent par ces partenaires, leurs clients pourraient être les prochains prévenus.