Engie piraté - vos données clients dans la nature

Si vous êtes chez Engie, surveillez votre boîte mail. Le fournisseur d'énergie prévient par email une partie de ses clients français qu'un accès non autorisé a touché leurs données personnelles, après le piratage d'une plateforme utilisée par ses partenaires commerciaux pour démarcher de nouveaux abonnés et vendre des offres d'énergie.

Le butin a de quoi nourrir pas mal d'arnaques, puisqu'on y trouve le nom, le prénom, l'adresse postale, l'email, le numéro de téléphone, l'identifiant client, le numéro de contrat, et même les références PDL et PCE, ces codes uniques qui identifient votre compteur d'électricité ou de gaz.

Aucune donnée bancaire ne fait partie du lot, et les systèmes internes d'Engie n'ont pas été touchés. Par contre, l'entreprise ne précise ni le nombre de clients concernés, ni la date de l'intrusion, ni le nom du prestataire piraté. Et c'est agaçant.

Ces informations sont une aubaine pour les faux conseillers, puisqu'un escroc qui vous appelle avec votre numéro de contrat et la référence de votre compteur sous les yeux devient très crédible, qu'il vous promette un remboursement, réclame une régularisation de facture ou invente une anomalie sur votre installation, et le numéro affiché sur votre écran peut lui aussi être falsifié pour imiter celui du fournisseur. Les faux messages d'alerte copiés sur ceux d'Engie risquent du coup de se multiplier dans les prochaines semaines, avec de vrais identifiants dedans pour endormir la vigilance. Méfiance, donc.

L'entreprise le répète, aucun de ses conseillers ne réclame de mot de passe ou de coordonnées bancaires, ni par mail, ni par SMS, ni au téléphone. Un RIB déjà transmis à un inconnu se signale à la banque, puis au dépôt de plainte via la plateforme publique 17Cyber. La CNIL a de son côté été prévenue, comme la loi l'impose.

Le coup du prestataire piraté est quand même devenu un grand classique, les attaquants laissent tranquilles les serveurs des grands groupes et tapent chez les sous-traitants, souvent moins bien défendus, et Engie connaît la chanson puisque le groupe Scattered LAPSUS$ Hunters se vantait déjà l'an dernier d'avoir siphonné une base de clients nord-américains du fournisseur, hébergée à l'époque chez Salesforce.

Si un conseiller Engie un peu trop bien renseigné vous appelle, raccrochez et rappelez le numéro qui figure sur votre facture. Deux minutes de perdues, pas plus.

Source : Bleepingcomputer