Le fournisseur de gaz et d’électricité Engie informe depuis le 23 octobre 2026 une partie de ses clients particuliers d’une fuite de données personnelles. Les pirates ont eu accès à leurs noms, coordonnées, numéros de contrat et identifiants de compteur (PDL ou PCE) en s’introduisant dans un outil utilisé par des partenaires commerciaux du groupe. Les coordonnées bancaires ne sont pas concernées, et le nombre de clients touchés n’a pas été communiqué.
Que s’est-il passé chez Engie ?
La fuite de données Engie provient d’une plateforme externe et non des systèmes informatiques internes du fournisseur. Il s’agit d’un outil employé par certains partenaires d’Engie pour prospecter de nouveaux clients et commercialiser ses offres d’énergie.
Engie indique avoir repéré des accès inhabituels aux données hébergées sur cet outil, puis avoir coupé l’accès des attaquants. Le groupe précise que l’incident concerne uniquement des clients situés en France et qu’il a prévenu les autorités compétentes.
Les courriels d’information envoyés aux clients concernés sont datés du 23 octobre 2026. Ni le nom du partenaire, ni celui de l’outil, ni la date exacte de l’intrusion n’ont été rendus publics.
Quelles données personnelles ont été exposées ?
Selon la notification adressée par Engie à ses clients, les informations suivantes ont pu être consultées par les pirates :
- le nom et le prénom ;
- l’adresse postale ;
- l’adresse e-mail ;
- le numéro de téléphone ;
- le point de livraison (PDL) pour l’électricité ou le point de comptage et d’estimation (PCE) pour le gaz ;
- l’identifiant client ;
- le numéro de contrat.
Le PDL et le PCE sont des numéros qui identifient de manière unique un compteur électrique ou un compteur de gaz. Ils figurent sur chaque facture et sont demandés lors de toute souscription ou changement de fournisseur d’énergie.
Engie affirme qu’aucune donnée bancaire (IBAN, numéro de carte) ne fait partie des informations dérobées. À la date du 29 octobre 2026, aucun groupe de pirates n’avait revendiqué l’attaque et aucun fichier n’avait été signalé en vente publique.
Combien de clients Engie sont concernés ?
Engie n’a pas donné de chiffre. Le groupe indique seulement avoir contacté individuellement chaque client dont les données figurent dans l’outil compromis.
Un client qui n’a reçu aucun message de la part d’Engie n’est donc, en principe, pas concerné par cet incident. Les messages d’information arrivent par e-mail, depuis les canaux habituels du fournisseur.
Quels risques après la fuite de données Engie ?
Le principal danger est l’hameçonnage ciblé, aussi appelé phishing : un escroc contacte la victime en se faisant passer pour un organisme légitime afin d’obtenir de l’argent ou des informations sensibles. Avec un numéro de contrat, un PDL et une adresse exacte, un faux conseiller peut paraître très crédible au téléphone.
Engie avertit lui-même que ces données peuvent servir à obtenir d’autres informations ou à pousser les victimes à effectuer un paiement. Plusieurs scénarios sont possibles :
- un faux conseiller Engie qui annonce un impayé, un remboursement ou une régularisation ;
- un faux partenaire qui propose une offre « plus avantageuse » pour changer de fournisseur ;
- un SMS ou un e-mail contenant un lien vers une fausse page de paiement ou de connexion ;
- une demande de code reçu par SMS, qui sert en réalité à valider une opération bancaire ou une souscription.
Le PDL et le PCE permettent aussi, en théorie, d’engager un changement de fournisseur au nom d’un client. À ce stade, aucun appel ni démarchage frauduleux lié à cette fuite n’a toutefois été signalé.
Comment se protéger si l’on est client Engie ?
La règle de base consiste à ne jamais considérer comme authentique un appel au seul motif que l’interlocuteur connaît son numéro de contrat. En cas de doute, il faut raccrocher et rappeler le service client au numéro inscrit sur une facture.
- Ne communiquer ni IBAN, ni numéro de carte bancaire, ni code reçu par SMS à un interlocuteur non sollicité.
- Ne pas cliquer sur les liens reçus par SMS ou e-mail : passer par l’application ou le site officiel du fournisseur.
- Signaler les SMS et appels suspects au 33700, le service gratuit des opérateurs mobiles.
- Vérifier dans l’espace client Engie que les coordonnées et le contrat n’ont pas été modifiés.
- Surveiller tout courrier d’un fournisseur inconnu ou toute facture de clôture pour un contrat jamais résilié.
Si un paiement a déjà été effectué ou un code transmis, il faut contacter sa banque au plus vite pour faire opposition, puis changer le mot de passe du compte concerné et activer la validation en deux étapes. Un client dont le contrat a été transféré à un autre fournisseur sans son accord dispose de trois mois pour le contester par lettre recommandée.
Engie déjà visé par des fuites de données
Ce n’est pas la première fois que des données de clients Engie sont exposées par l’intermédiaire d’un prestataire. Fin août 2023, un pirate avait diffusé un fichier d’environ 110 000 personnes issu du site Mon Espace Prime, une plateforme liée aux primes énergie gérée par un sous-traitant.
La fuite de données Engie d’octobre 2026 s’inscrit dans une série d’attaques visant des entreprises françaises de services au grand public, à l’image de la fuite touchant 230 000 comptes de la Compagnie des transports strasbourgeois annoncée le 28 octobre 2026. Engie indique poursuivre ses investigations et contacter directement chaque client concerné.
