Un interlocuteur qui conna\u00eet votre nom, votre adresse et votre r\u00e9f\u00e9rence de contrat n\u2019est pas forc\u00e9ment votre fournisseur d\u2019\u00e9nergie. C\u2019est le risque tr\u00e8s concret apr\u00e8s la fuite de donn\u00e9es confirm\u00e9e par Engie : des informations concernant certains clients en France ont \u00e9t\u00e9 accessibles dans un outil utilis\u00e9 par des partenaires commerciaux. L\u2019absence de donn\u00e9es bancaires dans le p\u00e9rim\u00e8tre annonc\u00e9 ne rend pas ces renseignements inoffensifs.<\/p>\n
Interrog\u00e9 par BleepingComputer, le groupe explique avoir rep\u00e9r\u00e9 des acc\u00e8s inhabituels dans une plateforme servant \u00e0 la prospection et \u00e0 la commercialisation d\u2019offres d\u2019\u00e9nergie. Il indique avoir coup\u00e9 les acc\u00e8s concern\u00e9s et averti les autorit\u00e9s. Selon son porte-parole, les syst\u00e8mes informatiques internes d\u2019Engie n\u2019ont pas \u00e9t\u00e9 compromis.<\/p>\n
Les notifications d\u00e9crites par le m\u00e9dia mentionnent noms et pr\u00e9noms, adresses postales et \u00e9lectroniques, t\u00e9l\u00e9phone, identifiant client, num\u00e9ro de contrat et r\u00e9f\u00e9rence du compteur : PDL pour l\u2019\u00e9lectricit\u00e9 ou PCE pour le gaz. Engie affirme qu\u2019aucune donn\u00e9e bancaire n\u2019est concern\u00e9e. Le nombre de personnes touch\u00e9es et l\u2019identit\u00e9 du partenaire ne sont pas pr\u00e9cis\u00e9s dans ces \u00e9l\u00e9ments publics.<\/p>\n
Ces informations donnent de la cr\u00e9dibilit\u00e9 \u00e0 une usurpation. Un escroc peut reprendre une r\u00e9f\u00e9rence exacte pour \u00e9voquer une r\u00e9gularisation, un remboursement ou un probl\u00e8me de contrat. Ce sont des exemples de sc\u00e9narios possibles, pas la preuve qu\u2019une campagne pr\u00e9cise a d\u00e9j\u00e0 utilis\u00e9 cette fuite. Le m\u00e9canisme reste le m\u00eame : obtenir votre confiance avant de r\u00e9clamer quelque chose qui manque encore au dossier.<\/p>\n
Un num\u00e9ro de compteur n\u2019est pas un mot de passe bancaire. En revanche, entendre un inconnu citer sa propre facture peut faire baisser la garde. Le pirate n\u2019a pas besoin de tout savoir : il lui suffit parfois d\u2019en savoir assez pour vous convaincre de compl\u00e9ter la collection. Voil\u00e0 pourquoi une fuite sans carte bancaire m\u00e9rite tout de m\u00eame une attention s\u00e9rieuse.<\/p>\n
En cas de sollicitation inattendue, ne vous laissez pas imposer l\u2019urgence. Ouvrez votre espace client par votre acc\u00e8s habituel ou utilisez les coordonn\u00e9es figurant sur une facture connue. \u00c9vitez de rappeler le num\u00e9ro fourni dans un message suspect ou d\u2019utiliser son lien pour vous identifier. Un logo fid\u00e8le, un nom d\u2019exp\u00e9diteur rassurant ou des informations exactes ne suffisent pas \u00e0 authentifier le contact.<\/p><\/p>\n
Ne transmettez pas de mot de passe, de code de validation ou de donn\u00e9es bancaires en r\u00e9ponse \u00e0 une demande non v\u00e9rifi\u00e9e. Cette recommandation vise le contact suspect ; elle ne signifie pas qu\u2019un fournisseur ne traite jamais l\u00e9gitimement d\u2019informations contractuelles. La bonne question est de savoir avec qui l\u2019on \u00e9change et par quel canal.<\/p>\n
Les conseils de Cybermalveillance.gouv.fr consistent notamment \u00e0 conserver les preuves et \u00e0 adapter la r\u00e9action \u00e0 ce qui a \u00e9t\u00e9 transmis. Un mot de passe divulgu\u00e9 doit \u00eatre chang\u00e9, y compris sur les autres services o\u00f9 il \u00e9tait r\u00e9utilis\u00e9. Si des informations de paiement ont \u00e9t\u00e9 communiqu\u00e9es, contactez rapidement votre banque. Engie indique pr\u00e9venir individuellement les clients concern\u00e9s : v\u00e9rifiez une notification par un canal ind\u00e9pendant si elle vous para\u00eet douteuse.<\/p>\n
Sources : D\u00e9claration d\u2019Engie \u00e0 BleepingComputer ; 01net, incident Engie ; Cybermalveillance.gouv.fr, hame\u00e7onnage.<\/p><\/p>\n\n\n