Fuite de données Engie : faux conseillers et arnaques à surveiller

En bref : fin octobre 2026, Engie a confirmé qu'une partie des données de ses clients en France avait été volée, via un outil utilisé par ses partenaires. Selon l'entreprise, aucune donnée bancaire n'est concernée et ses systèmes internes n'ont pas été touchés. Les données exposées (coordonnées, numéro de contrat, identifiant de compteur) permettent en revanche à un escroc de se faire passer pour un conseiller très bien informé. Les clients concernés ont été prévenus individuellement, et Engie n'a pas annoncé d'outil de vérification en ligne.

Ce qu'Engie a confirmé

L'incident a été rapporté le 27 octobre 2026 par le site spécialisé BleepingComputer, à qui un porte-parole d'Engie a confirmé les faits, puis par le Journal du Geek. À la date de publication, nous n'avons pas trouvé de communiqué sur le site d'Engie : les informations ci-dessous viennent de la déclaration du porte-parole et des courriers envoyés aux clients, tels que la presse les rapporte.

• L'origine : des pirates ont accédé à un outil utilisé par des partenaires d'Engie dans le cadre de leur prospection commerciale. Selon l'entreprise, ses systèmes informatiques internes n'ont pas été compromis, et l'accès des attaquants a été coupé.
• Les clients concernés : des clients en France uniquement. Leur nombre n'a pas été communiqué.
• Les données : selon les courriers de notification cités par BleepingComputer, le prénom, le nom, l'adresse postale, l'adresse email, le numéro de téléphone, l'identifiant client, le numéro de contrat, et le PDL ou le PCE.
• Les données bancaires : Engie indique qu'aucune n'est concernée.
• La réaction : les clients touchés ont été informés individuellement, les autorités ont été notifiées, et l'entreprise dit avoir rappelé à ses clients les précautions à prendre contre la fraude et l'hameçonnage.
• La revendication : aucun groupe de pirates n'avait revendiqué l'attaque au moment de ces publications.

BleepingComputer rappelle par ailleurs qu'un groupe de pirates avait revendiqué en 2025 une intrusion chez Engie Records, une filiale nord-américaine. Aucun lien n'est établi avec l'incident d'octobre 2026.

PDL et PCE : ce que ces numéros permettent

Le PDL (point de livraison) identifie votre compteur électrique, le PCE (point de comptage et d'estimation) votre compteur de gaz. Ils figurent sur vos factures, et vous les communiquez normalement pour souscrire ou changer de fournisseur.

Associés à votre numéro de contrat, ils donnent à un inconnu l'apparence d'un conseiller qui a votre dossier sous les yeux. Il peut pourtant ne disposer que d'une ligne de fichier volé.

Les arnaques possibles après cette fuite

À notre connaissance, aucune arnaque précise n'a été rattachée à la fuite Engie à ce jour. Les scénarios ci-dessous sont ceux que rendent possibles les données exposées, et qui existent déjà dans le secteur de l'énergie.

Le faux conseiller au téléphone

L'interlocuteur se présente comme conseiller de votre fournisseur, cite votre nom, votre adresse et votre numéro de contrat, puis :

• vous annonce un trop-perçu à rembourser et demande vos coordonnées bancaires « pour le virement » ;
• vous signale une anomalie de compteur ou une « régularisation » à payer immédiatement ;
• vous propose une offre moins chère, qui se révèle être un contrat chez un autre fournisseur ou un service payant, conclu pendant l'appel.

Le schéma est le même que celui du faux conseiller bancaire, appliqué à l'énergie.

Le faux mail ou le faux SMS de facture

Un message aux couleurs du fournisseur annonce une facture impayée, une coupure imminente ou un remboursement en attente, avec un lien de paiement. S'il cite votre vrai numéro client, il franchit plus facilement les premiers réflexes de méfiance. Les techniques pour démasquer ces messages sont détaillées dans nos guides sur le phishing et sur le smishing.

La fausse visite à domicile

Ce scénario est facilité par la connaissance de votre adresse et de votre compteur : un faux technicien annonce une intervention obligatoire et réclame un paiement sur place.

Repérer un faux conseiller

Un vrai service client peut vous demander de confirmer votre identité. Les signaux d'alerte sont ailleurs :

1. Une demande de coordonnées bancaires pour vous rembourser. En général, un fournisseur rembourse via les moyens de paiement déjà enregistrés sur votre contrat, par chèque ou sur une prochaine facture.
2. Un code reçu par SMS à lui communiquer. Ce code sert souvent à valider un paiement ou un contrat à votre place.
3. Un paiement immédiat, sous la menace d'une coupure ou d'une pénalité.
4. Une offre à accepter pendant l'appel, sans document écrit.
5. Un refus de vous laisser rappeler le service client.

Dans tous ces cas, raccrochez et rappelez votre fournisseur au numéro figurant sur votre facture ou dans votre espace client, jamais à celui donné pendant l'appel ou dans le message. Si la demande était légitime, le service client la retrouvera.

Un appel commercial suppose désormais votre accord

Depuis la fin de Bloctel, le 11 août 2026, la loi du 30 juin 2025 exige en principe un consentement préalable pour le démarchage téléphonique. La DGCCRF précise que ce consentement doit être explicite, préalable et traçable, et qu'il revient à l'entreprise de le prouver. Un appel commercial pour une offre d'énergie que vous n'avez pas sollicitée peut être signalé sur SignalConso.

Vous êtes client Engie : que faire

1. Lisez la notification avec prudence. Une information sur une fuite n'a aucune raison de vous demander un paiement ou vos coordonnées bancaires. Un « avis de fuite » qui vous demande de payer, ou de vous connecter via un lien, est une arnaque.
2. Ne donnez jamais vos coordonnées bancaires à un interlocuteur qui vous a appelé, même s'il cite votre numéro de contrat.
3. Connectez-vous à votre espace client en tapant vous-même l'adresse du site, et changez votre mot de passe si vous le réutilisez ailleurs.
4. Surveillez vos prélèvements, et activez la liste blanche des créanciers si votre banque la propose.
5. Signalez les messages frauduleux sur PHAROS, et les SMS au 33700.

Si un contrat a été conclu au téléphone

Si vous avez accepté une offre par téléphone et que vous le regrettez, l'article L221-18 du Code de la consommation vous donne en principe 14 jours pour vous rétracter d'un contrat conclu à distance. Pour un contrat de fourniture d'énergie, si la fourniture a commencé à votre demande expresse pendant ce délai, un montant proportionnel à l'énergie fournie reste dû (article L221-25).

Si un contrat a été souscrit sans votre accord, contestez-le par écrit auprès du service client du fournisseur, de préférence par lettre recommandée, en conservant les preuves. Sans réponse dans les deux mois, ou en cas de réponse insatisfaisante, le médiateur national de l'énergie peut être saisi gratuitement, dans un délai de dix mois. La pratique peut aussi être signalée sur SignalConso.

Si vous avez communiqué des coordonnées bancaires ou validé un code, appelez votre banque immédiatement, puis déposez plainte. Pour vérifier si votre adresse email figure dans d'autres fuites, voir notre guide Mes données ont-elles fuité ?.