ENGIE : fuite de données clients via un outil de ses partenaires commerciaux
ENGIE confirme une fuite de données clients via un outil de ses partenaires : noms, coordonnées, PDL/PCE et identifiants exposés ; pas de données bancaires.
ENGIE a confirmé une fuite de données personnelles touchant des clients en France, après un accès non autorisé à un outil de vente utilisé par certains de ses partenaires pour commercialiser ses offres d'énergie. Des clients ont reçu en octobre 2026 un e-mail de notification, dont le détail est documenté par Fuites Infos (fiche publiée le 24 octobre, statut « Confirmée par l'entreprise »). Si vous êtes client ENGIE, la vigilance porte sur le phishing, pas sur vos coordonnées bancaires — elles ne sont pas concernées.
Ce qui a fuité
D'après la notification citée par Fuites Infos, les catégories de données concernées sont :
- Nom et prénom
- Adresse postale
- Adresse e-mail
- Numéro de téléphone
- Point de livraison (PDL) ou point de comptage et d'estimation (PCE)
- Identifiant client et numéro de contrat
ENGIE précise que « les informations bancaires de ses clients ne sont pas concernées ». Le nombre de clients touchés n'est pas communiqué.
Origine de l'incident
ENGIE indique qu'« un acte de cyber-malveillance a récemment touché un outil » utilisé par certains de ses partenaires, et que « des accès non autorisés aux données personnelles des destinataires ont été constatés ». Ni le nom de l'outil ni celui du partenaire concerné ne sont donnés. L'entreprise affirme — reporting corroboré par BleepingComputer — que ses propres systèmes internes n'ont pas été compromis et qu'elle a coupé l'accès des attaquants à la plateforme concernée.
Attribution
Aucun groupe n'a revendiqué l'incident à ce stade, et ENGIE ne l'attribue à personne. À ne pas confondre avec la fuite de l'an dernier visant l'instance Salesforce d'ENGIE North America, revendiquée par Scattered LAPSUS$ Hunters : BleepingComputer note que rien ne relie les deux épisodes.
Que faire
- Clients ENGIE : attendez-vous à du phishing ciblé. Les données exposées (PDL/PCE, identifiant client, numéro de contrat) permettent de forger des messages crédibles se réclamant d'ENGIE ou de ses partenaires. ENGIE met explicitement en garde contre ces tentatives.
- Ne cliquez pas sur les liens d'e-mails ou SMS « ENGIE » réclamant un paiement, une régularisation ou une mise à jour de coordonnées. Passez par l'espace client officiel sur
particuliers.engie.fr. - Méfiez-vous des appels mentionnant votre numéro de contrat ou votre PDL/PCE pour « prouver » leur légitimité : ces éléments ne sont plus un secret.
- Côté défenseurs/RSSI : si vous opérez des outils de prospection confiés à des partenaires, c'est le rappel que la surface d'exposition inclut les sous-traitants commerciaux et leurs tenants. Inventoriez les tiers ayant accès aux bases clients.
Contexte
L'incident illustre un schéma récurrent : la donnée client fuit non par l'infrastructure du grand compte, mais par l'outil d'un tiers — partenaire, sous-traitant marketing, plateforme SaaS de prospection. Le périmètre de responsabilité RGPD suit la donnée, pas l'organigramme ; côté exploitation, un jeu d'identifiants énergie (PDL/PCE) alimente directement la fraude et l'hameçonnage ciblé, bien plus que la revente brute de coordonnées.