Un interlocuteur qui connaît votre nom, votre adresse et votre numéro de contrat d’énergie peut sembler légitime. Ces informations ne suffisent pourtant pas à prouver qu’il travaille pour votre fournisseur. ENGIE a confirmé une fuite de données concernant des clients en France, après un accès non autorisé à un outil utilisé par des partenaires.
BleepingComputer a obtenu cette confirmation auprès d’ENGIE et l’a publiée le 27 octobre. Le fournisseur affirme que ses systèmes informatiques internes n’ont pas été compromis.
Des coordonnées et des informations de contrat ont été concernées
Selon les courriers d’information consultés par BleepingComputer, les données comprennent notamment les nom et prénom, adresses postale et électronique, numéro de téléphone, identifiant client, numéro de contrat et références de point de livraison ou de comptage, PDL ou PCE.
ENGIE indique que les données bancaires ne sont pas touchées. L’entreprise n’a pas communiqué au média de nombre total de clients concernés. La date de publication de l’article ne doit pas non plus être confondue avec le début de l’intrusion, qui n’est pas précisé dans les informations rendues publiques.
L’outil concerné servait à la prospection commerciale de partenaires. ENGIE indique avoir coupé l’accès non autorisé et informé les clients concernés.
Le risque est aussi de rendre un faux appel plus convaincant
Une donnée de contrat n’autorise pas automatiquement un paiement. Elle peut néanmoins aider un escroc à rendre son récit crédible : il peut donner des renseignements exacts avant de réclamer une action qui, elle, ne l’est pas. La précision d’un appel ou d’un message ne doit donc pas être prise pour une authentification.
Ce mécanisme est l’une des raisons pour lesquelles Cybermalveillance.gouv.fr recommande de vérifier soi-même l’interlocuteur après une fuite de données. Le site conseille de contacter l’organisme à ses coordonnées officielles, plutôt que de se laisser imposer celles d’un message reçu.
Il s’agit d’un risque de réutilisation des informations, pas de l’annonce par Menow d’une campagne de fraude déjà mesurée après cet incident. Aucun chiffre de victimes d’escroquerie ne figure dans la confirmation obtenue par BleepingComputer.
Si vous recevez une notification, vérifiez-la depuis votre espace habituel
Si un message vous annonce la fuite, ouvrez votre espace client par votre accès habituel ou contactez le fournisseur avec les coordonnées figurant sur vos documents connus. Évitez de fournir de nouvelles informations via un lien que vous n’avez pas vérifié.
Un appel qui exige un code reçu par SMS, un règlement urgent ou une action bancaire immédiate doit être interrompu le temps de cette vérification indépendante. Conservez les messages suspects et les coordonnées utilisées : ils peuvent servir à un signalement si une tentative de fraude se présente.
Retenez surtout ce point lors d’un appel : connaître votre contrat n’est pas une preuve d’identité. Vous pouvez raccrocher et reprendre contact avec ENGIE sans vous laisser imposer un numéro, un lien ou un délai par votre interlocuteur.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
