Engie : des données clients volées, attention aux faux conseillers

Le plus inquiétant dans une fuite de données, ce n'est pas toujours ce qui a été volé, mais ce que les escrocs peuvent en faire. Engie vient d'en donner une nouvelle illustration. Le fournisseur d'énergie français confirme que des personnes malveillantes ont réussi à accéder aux informations personnelles de certains de ses clients. Et parmi les données récupérées figurent des éléments plutôt pratiques pour quelqu'un qui souhaiterait se faire passer pour un véritable conseiller.

L'incident a été rendu public ces derniers jours, et Engie a confirmé les faits le 27 octobre 2026. Une précision importante toutefois : ce ne sont pas les serveurs internes du groupe qui ont été compromis, mais un outil utilisé par certains de ses partenaires commerciaux pour proposer des contrats d'électricité et de gaz.

Des données volées chez un partenaire commercial

Engie explique avoir détecté des accès inhabituels sur une plateforme mise à la disposition d'entreprises partenaires. Ces dernières l'utilisent notamment pour contacter de futurs clients et commercialiser les offres du fournisseur.

Les pirates ont pu consulter et récupérer différentes informations : noms, prénoms, adresses postales, adresses électroniques, numéros de téléphone, identifiants clients et numéros de contrat. Les références des points de livraison d'électricité (PDL) et de comptage du gaz (PCE) figurent également parmi les données concernées.

Ces deux derniers termes méritent une explication. Le PDL est un numéro qui identifie le point de livraison d'électricité d'un logement. Le PCE remplit une fonction comparable pour le gaz. On les retrouve notamment sur les factures et ils permettent aux fournisseurs de savoir précisément de quel compteur il est question.

Pris séparément, ces numéros ne permettent pas de consulter votre compte bancaire ou de prendre le contrôle de votre installation électrique. Mais associés à votre identité, votre adresse et votre numéro de contrat, ils peuvent donner à un inconnu une connaissance plutôt troublante de votre dossier.

Engie affirme avoir bloqué les accès non autorisés dès leur découverte et informé les autorités compétentes. Le groupe n'a cependant pas communiqué le nom du partenaire concerné, la méthode utilisée par les pirates ni le nombre de clients touchés.

La bonne nouvelle, c'est qu'aucune donnée bancaire n'aurait été compromise, selon les vérifications réalisées par Engie. Une information rassurante, même si elle ne fait évidemment pas disparaître les autres risques.

Quand un faux conseiller connaît déjà votre contrat

Imaginons maintenant un appel téléphonique. Votre interlocuteur se présente comme un conseiller Engie et vous annonce qu'une erreur a été détectée sur votre dernière facture. Pour vous convaincre, il cite votre nom, votre adresse, votre numéro de contrat et même la référence de votre compteur.

À ce stade, beaucoup de personnes pourraient croire qu'elles parlent à un véritable employé du fournisseur. Après tout, comment un inconnu aurait-il accès à autant d'informations exactes ? C'est précisément le danger de ce genre de fuite.

Le faux conseiller pourrait ensuite vous demander de confirmer vos coordonnées bancaires, de régler une facture prétendument impayée ou de communiquer un code reçu par SMS. Et si l'histoire est suffisamment bien racontée, certains risquent malheureusement de tomber dans le piège.

Ce scénario reste hypothétique : aucune campagne d'escroquerie directement liée à cette fuite n'a été confirmée à ce jour. Mais les informations compromises sont suffisamment détaillées pour rendre de futures tentatives d'hameçonnage particulièrement crédibles.

C'est d'ailleurs tout le problème avec les données personnelles. On nous explique souvent qu'un numéro de téléphone ou une référence client ne présente pas de grand danger. C'est parfois vrai, pris isolément. Mais lorsque toutes ces informations se retrouvent réunies, elles permettent de construire une histoire nettement plus convaincante.

Comment savoir si vous êtes concerné ?

Pour le moment, l'incident concerne des clients situés en France. Engie indique avoir contacté individuellement les personnes dont les informations ont été exposées. Si vous êtes client, vérifiez donc vos courriels, sans oublier le dossier des messages indésirables.

Attention cependant à un détail : les escrocs pourraient parfaitement profiter de cette affaire pour envoyer de faux messages annonçant une fuite de données. Un courriel qui vous invite à cliquer immédiatement sur un lien pour « sécuriser votre contrat » doit donc être considéré avec prudence.

Le plus simple reste de vous rendre directement sur le site officiel d'Engie, en saisissant vous-même son adresse dans votre navigateur. Si quelqu'un vous appelle pour évoquer un problème de facturation, vous pouvez également raccrocher et rappeler le service client au numéro indiqué sur votre facture.

Il n'est pas nécessaire de modifier précipitamment votre mot de passe à cause de cette seule annonce : Engie n'a pas signalé de compromission des identifiants de connexion dans les informations rendues publiques. En revanche, ne transmettez jamais votre mot de passe, vos coordonnées bancaires ou un code de validation à une personne qui vous contacte de manière inattendue.

Le fournisseur propose également des conseils pour reconnaître les tentatives de phishing, notamment les faux messages utilisant son identité.

Les partenaires, un maillon parfois oublié de la sécurité

Cette cyberattaque soulève aussi une question qui dépasse largement le cas d'Engie. Une entreprise peut consacrer des sommes considérables à protéger ses propres serveurs, mais que deviennent les données lorsqu'elles sont confiées à des prestataires extérieurs ?

Les partenaires commerciaux ont évidemment besoin d'accéder à certaines informations pour travailler. Le problème apparaît lorsque ces accès deviennent une porte d'entrée supplémentaire pour des personnes malveillantes. Et pour le client, la distinction entre une fuite chez son fournisseur et une fuite chez un sous-traitant ne change pas grand-chose : ses informations personnelles se retrouvent exposées dans les deux cas.

Pour l'instant, Engie n'a révélé ni le nombre de personnes concernées ni l'identité des attaquants. Aucune revendication publique attribuée à un groupe cybercriminel n'a été confirmée. L'entreprise assure avoir pris les mesures nécessaires pour interrompre les accès suspects et prévenir ses clients.

Reste une interrogation que beaucoup de consommateurs pourraient légitimement se poser : combien d'entreprises extérieures possèdent aujourd'hui une copie de nos coordonnées et de nos références de contrat, parfois plusieurs années après notre dernière souscription ? On aimerait bien connaître la réponse. Pas certain qu'elle soit très rassurante.

Les informations sur l'incident ont notamment été confirmées par Engie auprès de BleepingComputer, qui a recueilli les déclarations du fournisseur.