La réponse courte
La brèche ne vient pas du cœur informatique d'Engie mais d'un outil de prospection ouvert à des partenaires commerciaux extérieurs. C'est précisément là que se situe la leçon : un portail partenaire bien alimenté en données clients devient une cible aussi intéressante que le système principal, souvent avec moins de contrôles. L'incident a été révélé fin octobre 2026 par Usine Digitale et Le Monde Informatique.
Pour les entreprises qui distribuent leurs offres via des revendeurs, des courtiers ou des centres d'appels, c'est le moment de faire passer ces extranets par un audit de sécurité et des tests d'intrusion, et de revérifier les clauses de sous-traitance avec un accompagnement en conformité RGPD.
Que s'est-il passé chez Engie ?
Engie a détecté une activité anormale sur un outil mis à disposition de ses partenaires commerciaux, les sociétés qui démarchent des particuliers et souscrivent pour son compte des contrats d'électricité et de gaz. Dès la détection, le groupe dit avoir désactivé les accès concernés, puis lancé des investigations techniques pour établir les circonstances, mesurer la portée de l'incident et identifier les clients touchés.
Le fournisseur affirme que « son système d'information interne et les données bancaires n'ont pas été compromis ». Il indique avoir informé individuellement chaque client concerné. En revanche, ni le nombre de personnes touchées ni l'identité du partenaire n'ont été rendus publics, et aucun groupe n'a revendiqué l'attaque à ce stade.
Quelles données ont été exposées ?
D'après les informations publiées par Engie et reprises par la presse spécialisée, les données consultées sont les suivantes :
- Identité et coordonnées : noms, prénoms, adresses postales et électroniques, numéros de téléphone.
- Données contractuelles : identifiants clients et numéros de contrat.
- Références de compteur : point de livraison (PDL) pour l'électricité ou point de comptage et d'estimation (PCE) pour le gaz.
Aucune coordonnée bancaire n'est concernée. Mais l'association d'un numéro de contrat, d'une référence de compteur et de coordonnées complètes suffit à rendre un faux appel ou un faux courriel très crédible : l'escroc connaît des détails que seul le fournisseur est censé détenir. Engie met d'ailleurs en garde contre les tentatives d'hameçonnage et de démarchage frauduleux se réclamant de ses conseillers.
Pourquoi les outils partenaires sont un maillon faible
Les portails de vente indirecte cumulent trois caractéristiques à risque. Ils sont utilisés par des sociétés extérieures, parfois avec un fort turnover de commerciaux. Ils donnent accès à des données clients à jour, nécessaires à la prospection et à la souscription. Et ils sont rarement surveillés avec la même rigueur que le système de facturation ou l'espace client.
Le cas d'Engie s'inscrit dans une série d'incidents français où l'attaquant n'a pas eu besoin de forcer le cœur du système : un compte légitime mal protégé ou un accès tiers trop large suffit. On l'a vu récemment avec la fuite de données de France Travail, partie d'un compte compromis.
Que doivent vérifier les entreprises qui ouvrent leurs données à des partenaires ?
Un extranet partenaire mérite le même niveau d'exigence qu'une application exposée sur Internet, parce que c'en est une. Six contrôles couvrent l'essentiel :
- Comptes nominatifs et authentification multifacteur pour chaque utilisateur partenaire, sans identifiants partagés entre commerciaux.
- Moindre privilège : un partenaire ne voit que ses propres prospects et contrats, jamais la base entière ni des champs inutiles à sa mission.
- Plafonds de consultation et d'export par compte et par jour, avec blocage automatique au-delà d'un seuil.
- Journalisation exploitable et alertes sur les volumes anormaux, les connexions depuis des pays ou à des horaires inhabituels.
- Revue et révocation rapide des accès à chaque départ d'un commercial ou fin de contrat avec un partenaire.
- Tests d'intrusion réguliers du portail, y compris des scénarios de compte partenaire compromis.
Sur le plan juridique, le RGPD impose un contrat de sous-traitance encadrant les obligations de sécurité du partenaire (article 28), la notification d'une violation à la CNIL dans les 72 heures lorsqu'elle présente un risque pour les personnes (article 33) et l'information des personnes concernées en cas de risque élevé (article 34). Ces clauses doivent prévoir les droits d'audit et les délais d'alerte du partenaire vers le donneur d'ordre.
Questions fréquentes
Quelles données des clients d'Engie ont été exposées ?
Selon Engie, il s'agit des noms et prénoms, adresses postales et électroniques, numéros de téléphone, identifiants clients, numéros de contrat et références de point de livraison (PDL) pour l'électricité ou de point de comptage et d'estimation (PCE) pour le gaz. Les données bancaires ne sont pas concernées.
Les systèmes d'Engie ont-ils été piratés ?
Non, d'après le fournisseur. L'accès non autorisé a visé un outil utilisé par ses partenaires commerciaux pour prospecter et vendre ses offres d'électricité et de gaz. Engie indique que son système d'information interne n'a pas été compromis et que les accès concernés ont été coupés.
Combien de clients sont concernés ?
Engie n'a pas communiqué de chiffre ni le nom du partenaire. Le groupe dit avoir informé individuellement chaque client concerné.
Que doit vérifier une entreprise qui ouvre un outil à ses partenaires ?
Des comptes nominatifs avec authentification multifacteur, des droits limités au strict besoin du partenaire, des plafonds d'export et de consultation, une journalisation exploitable avec alertes, une révocation rapide des accès et des clauses de sous-traitance RGPD à jour.
Sources
Usine Digitale — Des données clients d'Engie consultées sans autorisation, les systèmes internes épargnés (28 octobre 2026)
Le Monde Informatique — Une cyberattaque expose les données personnelles de clients d'Engie (29 octobre 2026)
Presse-citron — Engie confirme une fuite de données en France (29 octobre 2026)