Dans l'outil commercial des démarcheurs partenaires d'Engie, des pirates ont récupéré les coordonnées et les références de contrat de clients français. Le fournisseur appelle les personnes concernées à se méfier des faux conseillers.
Engie a commencé à prévenir un par un les clients touchés, tous en France. D'après L'Usine Digitale, des inconnus ont consulté leurs nom et prénom, leurs adresses postale et électronique, leur numéro de téléphone, leur identifiant client et leur numéro de contrat. Les courriers consultés par BleepingComputer ajoutent à la liste la référence du point de livraison d'électricité (PDL) ou du point de comptage et d'estimation du gaz (PCE). Aucune donnée bancaire n'a fui, assure Engie, mais ces numéros figurent sur chaque facture et donnent à un faux conseiller l'air d'avoir votre dossier sous les yeux.
L'outil de prospection des partenaires d'Engie piraté
Les pirates ont pioché dans une plateforme externe, utilisée par les partenaires mandatés par Engie pour prospecter et vendre ses offres d'électricité et de gaz. Le système informatique du groupe a été épargné, et les données consultées « se limitent aux coordonnées des clients ainsi qu'à certaines données relatives à leur contrat d'énergie », a précisé le fournisseur à L'Usine Digitale.
Dès qu'il a repéré ces consultations anormales, Engie a coupé les accès concernés et lancé des investigations techniques afin de mesurer l'ampleur de l'incident. Le groupe dit aussi avoir prévenu les autorités, et le RGPD l'oblige à notifier la CNIL dans les 72 heures après la découverte d'une fuite de données personnelles.
Le fournisseur n'a donné ni le nombre de clients concernés ni le nom du partenaire dont l'outil a été piraté, relève JeChange. Lors de la publication de l'article de BleepingComputer, aucun groupe de pirates n'avait affirmé être à l'origine de l'attaque. Cela ressemble presque trait pour trait à l'incident survenu en 2024, quand sa filiale Engie Home Services avait confirmé le vol des nom, prénom et adresse postale de quelques centaines de clients.
Les arnaques possibles avec un PDL et un numéro de contrat
Le PDL et le PCE identifient le compteur d'électricité ou de gaz d'un logement. Ces deux références apparaissent sur chaque facture, et un fournisseur les réclame à chaque souscription de contrat. Muni de ces numéros, un faux conseiller peut annoncer une régularisation de facture ou un remboursement à valider, puis demander un IBAN ou un paiement par carte. Dans son courrier, le fournisseur prévient d'ailleurs que des personnes malveillantes pourraient se présenter en son nom ou au nom de l'un de ses partenaires, selon FrenchBreaches.
Les pirates peuvent aussi imiter le message d'alerte d'Engie sur cette fuite, avec un lien vers une copie de l'espace client conçue pour voler votre mot de passe. Le groupe rappelle qu'il ne demande jamais de mot de passe ni de coordonnées bancaires par message ou par téléphone.
Au moindre doute, mieux vaut raccrocher et rappeler soi-même le service client au numéro inscrit sur une facture ou dans l'espace client, jamais à celui donné par l'interlocuteur. Le numéro qui s'affiche à l'écran ne prouve rien non plus, car les escrocs savent usurper celui d'une entreprise.
Si vous avez communiqué vos coordonnées bancaires à un interlocuteur douteux, prévenez sans attendre votre banque, qui peut bloquer la carte ou surveiller les prélèvements à venir. Vous pouvez aussi porter plainte en cas de préjudice, et la plateforme 17Cyber oriente les victimes vers la police ou la gendarmerie en fonction de leur situation.
Ces fuites touchent une large part des Français. Dans le baromètre réalisé par Ipsos pour Cybermalveillance.gouv.fr en mai 2026, 45 % des 18-75 ans disaient avoir été informés d'une fuite de leurs données en un an, d'après Selectra. Depuis le 1er octobre, la CNIL et la plateforme publient ensemble une liste de gestes à faire, du premier jour jusqu'à un mois après la fuite. Résilier son contrat chez Engie n'effacerait pas pour autant les informations récupérées par les pirates.
