Fuite de données Engie : plus de 130 000 clients victimes d'un piratage

Un prestataire informatique d'Engie a été victime d'une cyberattaque, et les données personnelles de plus de 130 000 clients ont été dérobées. Le pirate qui les a publiées sur un forum justifie son acte par la hausse du prix du gaz.

Soyez vigilant si vous êtes client d'Engie ! Une base de données de plus de 138 000 personnes ayant souscrit auprès du fournisseur d'énergie a été mise en ligne sur un forum de hackers le 23 août dernier, comme le signale le site d'alerte Zataz. HommedeLombre, le pirate informatique à l'origine de l'attaque, a ainsi publié les noms, prénoms, e-mails, villes, numéros de téléphone des clients, ainsi que des indications sur eux. Il a en revanche retiré les adresses des domiciles, car il considère "que ce n'est pas éthique pour les clients qui n'ont rien demandé" – quel grand seigneur ! Les coordonnées bancaires et les mots de passe ne seraient pas concernés par cette fuite, placée sous le signe de l'hacktivisme. En effet, le pirate a réalisé cette opération afin de "montrer que rien n'est sûr, même dans les cibles les plus importantes" mais aussi, et surtout, "en réponse à l'inflation du prix du gaz en France", comme l'indique son message sur le forum. Une justification qu'il conclut par un "Force aux travailleurs acharnés, et aux patriotes français !" pour le moins inattendu.

Fuite de données Engie : quels conséquences pour les clients ?

La fuite ne provient pas d'Engie à proprement parler, mais du sous-domaine Ma Prime Économie d'Énergie (du site monespaceprime.engie.fr), qui est géré par un prestataire externe. C'est donc ce dernier qui a été victime de la cyberattaque. Pour y parvenir, le hacker a exploité une faille dite n-day – une vulnérabilité déjà exploitée pour laquelle un correctif a été fourni – dans un système ou un logiciel. Les données de 138 608 clients qui se sont enregistrés chez Engie entre 2018 et avril 2023 sont donc accessibles sur le Dark Web. Le fournisseur d'énergie a depuis confirmé la nouvelle auprès de confrères. Par ailleurs, il a déposé plainte et collabore activement avec les autorités compétentes pour résoudre cette affaire.

Si l'hacktiviste a pris soin de ne pas publier les adresses des domiciles des clients et que les données bancaires n'ont a priori pas été touchées, le danger que représente cette fuite est loin d'être négligeable pour autant. Les clients pourraient faire face à des tentatives de phishing ou d'autres formes d'escroqueries, une personne malveillante pouvant tout à fait exploiter cette base de données et se faire passer pour Engie.

Cette nouvelle fuite rappelle l'importance de la sécurité des données, surtout lorsque des prestataires externes sont impliqués. Récemment, Pôle emploi a lui aussi vu un de ses prestataires être victime d'une cyberattaque, qui a abouti à la vente de données sensibles de plus de 10 millions de demandeurs d'emploi sur le Dark Web (voir notre article). Les prestataires apparaissent comme des cibles plus facilement atteignables que les grands groupes, mais avec des informations tout aussi précieuses.