Engie informe des clients français d’une fuite de données chez ses partenaires

Ce qui s’est passé

Engie a confirmé à BleepingComputer un accès non autorisé à une plateforme utilisée par ses partenaires pour prospecter des clients et commercialiser des offres d’énergie. Dans son article du 27 octobre 2026, le média rapporte que le fournisseur a coupé l’accès des attaquants et informé individuellement les clients concernés.

Selon les déclarations d’Engie au média, l’incident concerne des clients en France. Les systèmes informatiques internes du fournisseur n’ont pas été compromis. Les investigations menées à ce stade n’indiquent pas d’exposition de données bancaires.

Les courriers d’information décrits par BleepingComputer mentionnent les noms et prénoms, adresses postales et électroniques, numéros de téléphone, identifiants clients et numéros de contrat. S’y ajoutent les références du point de livraison pour l’électricité et du point de comptage et d’estimation pour le gaz, qui permettent d’identifier les points de fourniture.

Le nombre de clients concernés, la date de l’intrusion et l’identité du prestataire touché restent inconnus. Engie n’a pas attribué l’attaque à un groupe particulier.

Ce que ça change pour une PME

Le risque décrit est celui d’une fraude personnalisée, pas d’une intrusion dans le système informatique des clients. Un interlocuteur disposant d’un numéro de contrat et d’une adresse exacte peut rendre une fausse demande de régularisation ou un faux remboursement plus crédible.

Cybermalveillance.gouv.fr rappelle qu’une fuite de données peut alimenter des tentatives d’hameçonnage par courriel, message ou téléphone. L’absence de données bancaires dans cet incident ne supprime donc pas le risque qu’un fraudeur cherche ensuite à les obtenir.

Pour une PME, ce risque peut concerner les personnes qui reçoivent les sollicitations du fournisseur ou traitent ses factures, si leurs coordonnées figurent parmi les données exposées. Le périmètre communiqué ne permet toutefois pas de déterminer quelle part des clients touchés relève d’abonnements professionnels.

Quoi faire

Dans les notifications rapportées par BleepingComputer, Engie indique avoir rappelé aux clients concernés les précautions contre la fraude et l’hameçonnage. Cybermalveillance.gouv.fr distingue notamment les réflexes suivants :

• Lire la notification de l’organisme pour identifier précisément les informations compromises et, au besoin, en confirmer l’authenticité auprès de lui.
• Vérifier toute sollicitation inattendue en recontactant soi-même l’organisme à ses coordonnées officielles, plutôt qu’en se fiant aux informations connues par l’appelant.
• Ne pas communiquer de codes, de mots de passe ou de données bancaires à un interlocuteur dont l’identité n’a pas été vérifiée.

Ces précautions répondent au risque de réutilisation des données ; elles ne signifient pas que des escroqueries liées à cet incident ont déjà été constatées.