Engie : une fuite de données touche des clients via un partenaire

Engie a commencé à prévenir, un par un, une partie de ses clients français touchés par une fuite de données. L'incident, révélé fin octobre 2026, ne provient pas des systèmes informatiques internes du groupe mais d'un outil commercial utilisé par ses partenaires pour prospecter et vendre ses offres d'électricité et de gaz.

Le fournisseur affirme avoir détecté des accès non autorisés à cette plateforme et avoir coupé la connexion dès que l'anomalie a été repérée. Dans sa communication, Engie évoque un « acte de cyber-malveillance » et assure que « les systèmes informatiques internes d'Engie n'ont pas été compromis ».

Un outil de partenaires visé, pas les serveurs du groupe

L'attaque ne touche pas directement l'espace client d'Engie, mais une plateforme externe mise à disposition de certains partenaires mandatés pour démarcher de nouveaux clients. Le groupe n'a précisé ni le nom du partenaire concerné, ni le nombre de clients affectés, ni la méthode utilisée par les attaquants.

Interrogé par le site américain BleepingComputer, un porte-parole d'Engie a confirmé que l'incident se limite aux clients situés en France. Aucun groupe de pirates n'avait, à la date de publication, revendiqué l'opération, et rien n'indique que les données volées aient été mises en vente ou publiées sur le dark web.

Coordonnées et références de contrat, pas de données bancaires

Les courriers envoyés aux clients concernés, consultés par BleepingComputer, détaillent les informations consultées par les attaquants : nom et prénom, adresse postale et électronique, numéro de téléphone, identifiant client et numéro de contrat. S'y ajoutent les références du point de livraison d'électricité (PDL) ou du point de comptage et d'estimation du gaz (PCE), des identifiants propres au contrat d'énergie de chaque foyer.

Engie insiste sur un point : « Les investigations menées à ce jour indiquent que les données concernées se limitent aux coordonnées des clients et à certaines informations relatives à leurs contrats d'énergie. Aucune donnée bancaire n'est affectée », a précisé le fournisseur à BleepingComputer.

« Les investigations menées à ce jour indiquent que les données concernées se limitent aux coordonnées des clients et à certaines informations relatives à leurs contrats d'énergie. Aucune donnée bancaire n'est affectée », Porte-parole d'Engie, déclaration à BleepingComputer.

Le groupe dit avoir prévenu les autorités compétentes. Le RGPD impose à une entreprise de notifier la CNIL dans les 72 heures suivant la découverte d'une fuite de données personnelles.

Un risque de faux conseillers par téléphone

Sans mots de passe ni coordonnées bancaires dans le lot, le risque immédiat n'est pas financier mais lié à l'hameçonnage. Les numéros de contrat, de PDL ou de PCE figurent sur chaque facture : un escroc qui les connaît peut se faire passer pour un conseiller Engie avec un dossier apparemment en main, par téléphone, SMS ou e-mail.

Engie appelle ses clients à la vigilance face aux sollicitations inhabituelles, à vérifier l'origine des messages reçus et à privilégier les coordonnées officielles du fournisseur pour toute demande de vérification.

Un groupe déjà visé par le passé

Ce n'est pas la première fois qu'Engie est confrontée à un vol de données. En septembre 2023, le fournisseur avait reconnu une cyberattaque touchant 110 000 clients, après qu'un groupe de pirates eut revendiqué en avoir visé 140 000 sur un forum spécialisé. L'intrusion passait alors par un sous-traitant fragilisé par une faille de sécurité, et les assaillants avaient justifié leur action par une volonté de « répondre au prix du gaz ».

Plus récemment, en octobre 2025, l'entité américaine Engie Resources avait été listée par le groupe d'extorsion Scattered LAPSUS$ Hunters, qui revendiquait la compromission de plus de 100 instances Salesforce et l'extraction de plus d'un milliard d'enregistrements au total, dont environ 3 Go issus d'Engie. Selon des données de l'assureur Resilience citées par Infosecurity Magazine, aucun client européen du secteur de l'énergie et des services collectifs n'a signalé de rançongiciel depuis juillet 2025, contrairement aux Etats-Unis où ce type d'attaque représente environ 70 % des pertes indemnisées dans le secteur.

À ce stade, l'ampleur exacte de la fuite actuelle reste inconnue. Engie n'a communiqué ni le nombre de clients concernés, ni la période pendant laquelle les accès non autorisés ont eu lieu.