Le fournisseur d'énergie ENI a confirmé, par le biais d'un message envoyé à ses clients français, avoir été victime d'une cyberattaque. Les hackers ont mis la main sur une base de données importante.
Mauvaise surprise pour les clients professionnels d'ENI en France. À la fin du mois de décembre, le groupe de hackers Lapsus$ avait publié sur un célèbre forum de cybercriminels une base de données contenant un jeu de dizaines de milliers de données. Parmi elles, on retrouve des noms, e-mails professionnels et références clients. Dans un message adressé à ses clients, dont Clubic a pris connaissance mardi 6 janvier, l'énergéticien italien a confirmé l'incident tout en essayant de rassurer sur l'ampleur des dégâts.
Les hackers exposent des données professionnelles de clients ENI sur le dark web
Le 27 décembre 2025, sous le pseudonyme Lapsus-Group, les hackers ont brandi un nouveau trophée auprès de leurs pairs. Leur cible, ENI, géant énergétique italien qui pèse 40 milliards d'euros en bourse. Le pirate qui se revendique du groupe Lapsus$, connu pour avoir compromis Electronic Arts en 2021 et Okta en 2022, dit avoir mis la main sur 89 463 lignes de données clients français, qu'il attribue à l'un de ses complices, un certain « breach3d ».
Un fichier complet est proposé en téléchargement, accompagné d'un échantillon qui ne laisse désormais pas de place au doute sur leur authenticité. On y découvre des noms de restaurants, de paroisses, de copropriétés et de diverses entreprises françaises. Chaque ligne contient la raison sociale, la référence client, les coordonnées professionnelles (adresse e-mail et numéro de téléphone pro) et même les dates de dernière connexion au service des entités apparues dans la base de données.
Entre 40 000 et 50 000 clients français pourraient être concernés, même si ENI ne donne aucun chiffre. Dans leur annonce, les pirates précisent que seules les données françaises ont été extraites, sans donner plus de détails sur la méthode utilisée. Ils espèrent probablement valoriser leur exploit auprès de la communauté cybercriminelle, voire revendre ces informations à d'autres acteurs malveillants, en profitant d'un sale temps au-dessus du ciel cyber français.
ENI reconnaît les faits et alerte ses clients
Quelques jours seulement après la publication, ENI a décidé de briser le silence. Dans un message adressé aux clients concernés, consulté par Clubic mardi, l'entreprise confirme avoir « bien été victime d'une diffusion non autorisée » d'informations professionnelles. Le ton est volontairement mesuré, mais le message est clair : la fuite est réelle, et l'analyse préliminaire le confirme.
L'énergéticien s'efforce toutefois de limiter la casse côté communication. Selon ses dires, « aucune donnée commercialement sensible n'est concernée », et les mots de passe, historiques de consommation et coordonnées bancaires n'ont fort heureusement pas été compromis. On ne peut toutefois que vous conseiller de réinitialiser votre mot de passe. Les accès clients resteraient également protégés. Les données exposées seront exploitables pour mener du phishing ciblé.
ENI annonce le dépôt d'une plainte contre X et promet d'opérer des notifications aux autorités compétentes, « si les éléments recueillis le justifient ». Il faut tout de même espérer, dans l'intérêt d'ENI et de ses clients, que la CNIL a été prévenue, comme l'exige la réglementation. En attendant, l'entreprise en profite, et elle a raison de le faire, pour rappeler les consignes de sécurité classiques à ses clients, à savoir la méfiance face aux e-mails suspects, la vérification systématique des expéditeurs, et l'utilisation exclusive des canaux officiels pour communiquer ou s'informer. Des tentatives d'arnaques sophistiquées risquent de se multiplier dans les semaines à venir.
