Votre nom, adresse et numéro de contrat Engie ont peut-être été volés. Pas de panique : aucune donnée bancaire n’a été compromise, et les systèmes internes d’Engie restent intacts. Mais le vrai danger guette ailleurs. Armés de vos références contractuelles PDL et PCE, des escrocs peuvent désormais usurper l’identité du fournisseur pour vous piéger par téléphone ou email. Voici comment l’attaque s’est déroulée, et surtout, comment vous protéger.
Chronologie d’une fuite : comment Engie a découvert le problème
Février 2026 : une plateforme commerciale piratée
L’intrusion n’a pas visé les serveurs d’Engie directement. Les cybercriminels ont infiltré une plateforme commerciale externe, utilisée par les partenaires du groupe pour prospecter et vendre des offres d’énergie. Cet outil tiers contenait des données clients sensibles : noms, prénoms, adresses postales, emails, numéros de téléphone, identifiants clients, numéros de contrat et surtout, les fameuses références PDL (Point de Livraison électricité) et PCE (Point de Comptage et d’Estimation gaz). Selon 01net, la brèche a été détectée avant la fin du mois d’octobre 2026, sans que le nombre exact de victimes soit communiqué.
Réaction rapide : isolation et notification des clients
Dès la découverte de l’accès frauduleux, Engie a coupé l’accès des attaquants à la plateforme compromise. Le fournisseur a ensuite informé individuellement chaque client concerné, conformément à ses obligations légales. « Les investigations menées à ce jour indiquent que les données concernées se limitent aux coordonnées des clients et à certaines informations relatives à leurs contrats d’énergie. Aucune donnée bancaire n’est affectée », précise le communiqué officiel d’Engie, relayé par Univers FreeBox. La CNIL a été notifiée dans le délai réglementaire de 72 heures imposé par le RGPD.
Vos données en danger : noms, adresses, numéros de contrat
Ce qui a été volé (et ce qui n’a pas été compromis)
La liste des informations exposées impressionne par sa précision. Les pirates ont récupéré l’identité complète des clients (nom, prénom), leurs coordonnées de contact (adresse postale, email, téléphone), ainsi que leurs identifiants et numéros de contrat. Aucune coordonnée bancaire, IBAN ou mot de passe n’a fuité, confirme Engie. Les systèmes informatiques internes du groupe n’ont pas été compromis. Seule la France est touchée, aucun client d’autres pays n’apparaît dans les données volées. À ce jour, aucun groupe de cybercriminels n’a revendiqué l’attaque, et rien n’indique que les informations circulent sur le dark web.
Pourquoi vos numéros de contrat PDL/PCE sont une aubaine pour les escrocs
Les références PDL et PCE semblent anodines. Elles identifient votre compteur électrique ou gazier, indépendamment du fournisseur. Mais entre les mains d’un escroc, elles deviennent des armes redoutables. En citant votre numéro PDL exact lors d’un appel, un faux conseiller gagne instantanément votre confiance. Vous pensez avoir affaire à un vrai employé d’Engie, puisqu’il connaît votre contrat sur le bout des doigts. « Muni de ces numéros, un faux conseiller peut annoncer une régularisation de facture ou un remboursement à valider, puis demander un IBAN ou un paiement par carte », explique l’analyse de Stéphane Larue, spécialiste en cybersécurité.
L’arnaque du faux conseiller Engie : le nouveau phishing à connaître
Le scénario : comment les escrocs usurpent l’identité d’Engie
Le scénario type commence par un appel téléphonique ou un email soigneusement rédigé. L’escroc se présente comme conseiller Engie et cite votre nom, adresse et numéro de contrat pour lever vos doutes. Il évoque ensuite un prétexte crédible : remboursement de trop-perçu, régularisation de facture, nouvelle offre tarifaire avantageuse. Pour finaliser l’opération, il demande vos coordonnées bancaires, un paiement par carte bancaire ou un virement immédiat. Certains vont jusqu’à envoyer de faux emails avec logos officiels et liens frauduleux vers des pages imitant le site d’Engie. Generation-nt rappelle que les techniques de phishing gagnent en sophistication chaque année, rendant la vigilance indispensable.
5 gestes simples pour ne pas vous faire piéger
Premier réflexe : raccrochez immédiatement si un interlocuteur demande vos coordonnées bancaires par téléphone. Engie le martèle : « Engie ne demandera jamais de mot de passe ni de coordonnées bancaires par message ou par téléphone. » Deuxième geste : vérifiez l’adresse email de l’expéditeur. Les escrocs utilisent des adresses ressemblantes (engie-clients.com au lieu de engie.fr). Troisième conseil : ne cliquez jamais sur un lien reçu par SMS ou email suspect. Tapez manuellement l’adresse du site officiel dans votre navigateur. Quatrième précaution : consultez votre espace client en ligne pour vérifier toute demande de paiement ou régularisation. Cinquième règle : signalez tout appel douteux au 0 800 940 560, numéro officiel d’Engie, ou sur la plateforme Cybermalveillance.gouv.fr.
Engie et la CNIL : conformité légale et transparence
Engie a respecté ses obligations réglementaires en notifiant la CNIL dans les 72 heures suivant la découverte de la fuite, comme l’exige le RGPD. L’autorité de protection des données peut désormais ouvrir une enquête pour évaluer la responsabilité du fournisseur dans la sécurisation de ses outils tiers. Cette fuite marque le troisième incident majeur pour Engie en trois ans, après des compromissions en 2023 et 2024 (cette dernière touchant Engie Home Services). Le contexte français inquiète : selon un baromètre Ipsos publié en mai 2026 pour Cybermalveillance.gouv.fr, 45% des Français âgés de 18 à 75 ans ont été informés d’une fuite de leurs données au cours de l’année écoulée. Les tensions récentes dans le secteur de l’énergie ne facilitent pas la gestion de crise pour les fournisseurs comme Engie, déjà sous pression pour l’évolution des tarifs.
La leçon principale reste la vulnérabilité des chaînes de sous-traitance. Même lorsque les systèmes internes d’un grand groupe résistent aux attaques, les outils externes utilisés par les partenaires commerciaux constituent des points d’entrée privilégiés pour les cybercriminels. Pour les clients, la vigilance devient la première ligne de défense face à un phishing toujours plus crédible.
