ENGIE informe de nouveaux clients d’un incident de sécurité ayant touché un outil utilisé par certains de ses partenaires pour commercialiser des offres d’énergie. Des accès non autorisés ont permis de consulter des informations directement liées aux contrats d’électricité ou de gaz, dont les numéros PDL ou PCE et les numéros de contrat.
Dans un email dont Cyberattaque.org s’est procuré une copie, ENGIE confirme qu’un « acte de cyber-malveillance » a récemment affecté cet outil commercial. Le fournisseur ne précise pour le moment ni le nom de la plateforme compromise, ni le partenaire concerné, ni le nombre de clients touchés.
Les données permettent d’identifier précisément le contrat d’énergie
Le périmètre communiqué comprend le nom, le prénom, l’adresse postale, l’adresse email et le numéro de téléphone du client.
S’y ajoutent des données directement rattachées à la fourniture d’énergie : le Point de Livraison (PDL) pour l’électricité ou le Point de Comptage et d’Estimation (PCE) pour le gaz, l’identifiant client ainsi que le numéro de contrat.
ENGIE précise en revanche que les informations bancaires ne sont pas concernées.
PDL et PCE : des identifiants directement rattachés au logement
Le PDL est un identifiant unique de 14 chiffres permettant d’identifier précisément un point de fourniture électrique. Son équivalent pour le gaz est le PCE. Ces références sont notamment demandées lors de la souscription d’un contrat ou d’un changement de fournisseur.
Le PDL ou le PCE ne permettent pas à eux seuls de se connecter à l’espace client ENGIE ni de prendre le contrôle d’un compteur. Leur association avec l’identité complète, l’adresse et le véritable numéro de contrat offre toutefois beaucoup plus de contexte à un fraudeur.
Un attaquant pourrait ainsi contacter sa cible en connaissant à l’avance son fournisseur, son adresse de consommation et plusieurs références figurant sur ses documents contractuels, puis tenter d’obtenir les informations manquantes pour réaliser une fraude.
Un outil utilisé par les partenaires commerciaux d’ENGIE
L’incident ne semble pas provenir directement de l’espace client grand public d’ENGIE. Le groupe indique qu’il concerne un outil mis à disposition de certains partenaires chargés de commercialiser ses offres d’énergie.
ENGIE travaille officiellement avec plusieurs sociétés de vente mandatées. Sa liste 2026 mentionne notamment ENERGY+, RANGER, ON-E-NERGY, OPTIMARK, GLOBENERGY, GLOBE et C2E. Ces partenaires peuvent intervenir dans la commercialisation de contrats et ont donc besoin d’accéder à certaines informations nécessaires à la souscription.
Rien ne permet toutefois d’identifier lequel de ces partenaires est lié à l’incident actuel. ENGIE ne donne pas davantage le nom de l’éditeur de l’outil compromis.
Un risque important de faux démarchage ENGIE
Le principal risque identifié par ENGIE est celui du phishing et de l’usurpation de son identité. Les informations exposées sont particulièrement adaptées aux arnaques liées à l’énergie.
Un fraudeur peut par exemple prétendre appeler au sujet d’un véritable contrat, d’une modification tarifaire ou d’un changement de fournisseur et utiliser le PDL ou le PCE comme élément destiné à rassurer sa victime.
Il peut ensuite chercher à récupérer un IBAN, un code reçu par SMS ou d’autres informations nécessaires à une souscription frauduleuse. ENGIE rappelle qu’il ne demandera jamais par email, SMS ou téléphone la communication d’un mot de passe ou de coordonnées bancaires.
Une autre fuite avait déjà été signalée début octobre
Cette notification intervient alors qu’ENGIE avait déjà informé une partie de ses clients d’un autre incident au début du mois d’octobre.
Dans un message envoyé le 2 octobre 2026, l’entreprise expliquait qu’un prestataire fournissant des outils de communication et de gestion des interactions clients avait subi une cyberattaque. Les informations exposées comprenaient alors notamment les coordonnées des clients, leur numéro de contrat et certains extraits d’échanges avec le service client.
Le courrier analysé aujourd’hui décrit cependant un outil utilisé par des partenaires pour commercialiser les offres et mentionne cette fois explicitement les PDL et PCE. Il n’est donc pas possible, avec les informations disponibles, de déterminer s’il s’agit d’une extension du même incident ou d’un second événement distinct.
Le nombre de clients concernés reste inconnu
ENGIE ne fournit actuellement aucun chiffre concernant le nombre de personnes affectées. Le message envoyé aux clients ne précise pas non plus la date exacte de l’intrusion, sa durée ou la méthode utilisée pour accéder à l’outil.
Le point le plus important sera désormais de déterminer le périmètre de cet accès et surtout si les données ont seulement été consultées ou si elles ont fait l’objet d’une extraction massive.
Pour les personnes ayant reçu la notification, la vigilance doit surtout porter sur les sollicitations connaissant déjà des informations précises sur leur contrat. La connaissance d’un numéro de contrat ou d’un PDL ne doit pas être considérée comme une preuve que l’interlocuteur travaille réellement pour ENGIE.
Source originale : Cyberattaque.org.