Engie : accès non autorisés à un outil de ses partenaires commerciaux, des clients notifiés avec leur PDL et leur numéro de contrat

Le 23 octobre 2026, Bonjour la fuite a reproduit un courriel par lequel Engie informe des clients d’un incident de sécurité, que Cyberattaque.org a publié à son tour le samedi 24 octobre : un « acte de cyber-malveillance » a récemment touché un outil mis à disposition de certains de ses partenaires pour commercialiser des offres d’électricité et de gaz, et des accès non autorisés aux données des clients ont été constatés. Engie a ensuite confirmé les faits à BleepingComputer (article du 27 octobre) et la presse française a relayé l’information du 28 au 30 octobre. D’après ces articles, le groupe a détecté une activité d’accès inhabituelle dans cet outil, en a coupé l’accès non autorisé, a notifié individuellement les clients concernés et affirme que ses systèmes informatiques internes n’ont pas été compromis. Selon BleepingComputer, Engie a aussi informé les autorités compétentes sans les nommer, cette mention ne figurant pas dans la notification lue. La date de l’intrusion, sa durée et sa méthode ne sont pas communiquées.

Aucun chiffre de clients concernés n’est donné par Engie, qui indique seulement que l’incident se limite à des clients situés en France, et aucun groupe n’a revendiqué l’attaque ni formulé de demande de rançon ni mis de données en vente selon les sources consultées. Le périmètre reste donc à établir, y compris la question de savoir si les données ont été seulement consultées ou extraites en masse, que Cyberattaque.org pose sans y répondre.

D’après la notification, les données exposées sont le nom, le prénom, l’adresse postale, l’adresse électronique, le numéro de téléphone, le point de livraison (PDL, identifiant du compteur d’électricité) ou le point de comptage et d’estimation (PCE, pour le gaz), l’identifiant client et le numéro de contrat. Ces références sont celles que l’on fournit pour souscrire un contrat ou changer de fournisseur, et un fraudeur qui les cite en début d’appel peut se faire passer pour Engie, pour un partenaire ou pour un démarcheur d’un fournisseur concurrent, en s’appuyant sur des informations exactes pour mettre en confiance. Ni le PDL ni le numéro de contrat ne donnent à eux seuls accès à un espace client ou au compteur, mais ils peuvent servir à obtenir ensuite un IBAN, un code reçu par SMS ou un accord oral pour une souscription ou un changement de fournisseur que la personne n’a pas voulu. La gravité est retenue à « élevée » en raison de l’association de l’identité complète, de l’adresse de consommation et des références de contrat, avec un volume qui reste inconnu et qui pourrait modifier cette appréciation.

Engie déclare, dans sa notification, que les informations bancaires ne sont pas concernées, ce qu’aucune source indépendante n’a pu vérifier, et rappelle qu’il ne demande jamais par courriel, SMS ou téléphone un mot de passe ou des coordonnées bancaires. Le groupe n’a pas, dans les sources consultées, nommé le partenaire, l’éditeur de l’outil ou la méthode d’accès, et aucun communiqué sur son site ni information sur une déclaration à la CNIL n’a été trouvé.

Les personnes ayant reçu la notification peuvent traiter comme suspect tout appel, SMS ou courriel qui évoque leur contrat, leur PDL ou un changement de fournisseur, y compris s’il cite des références exactes, et vérifier la demande en rappelant Engie par le numéro figurant sur leur facture ou depuis leur espace client. Il est préférable de ne communiquer ni IBAN ni code reçu par SMS à un interlocuteur qui a appelé le premier, et de ne pas donner d’accord oral à un changement de contrat. Les courriels suspects peuvent être signalés à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance en cas de fraude avérée.