Fuite ENGIE : des données de contrats d'énergie consultées, que faire ?

ENGIE prévient par e-mail des clients que leurs données ont été consultées sans autorisation, après le piratage d'un outil utilisé par des partenaires qui vendent ses offres d'énergie. Sont touchés : identité, coordonnées, PDL ou PCE, identifiant client et numéro de contrat, mais pas les données bancaires selon ENGIE. Si vous avez reçu ce message, vous êtes concerné.

L'information a été rendue publique le 24 octobre 2026 par le site de veille Fuites Infos, qui reproduit une capture du message, puis par l'observatoire Cyberattaque.org, qui dit s'en être procuré une copie. ENGIE y parle d'un « acte de cyber-malveillance » ayant récemment affecté cet outil et indique que « des accès non autorisés aux données personnelles des destinataires ont été constatés ». À la date de publication, le fournisseur n'a diffusé aucun communiqué public détaillé : ni nombre de clients, ni nom du partenaire, ni dates de l'intrusion. Aucune revendication de pirate n'est connue à ce stade.

Qui est concerné, et comment le vérifier ?

Le message d'ENGIE vise les « destinataires » eux-mêmes : si vous l'avez reçu, vos données font partie de celles qui ont été consultées. Cherchez-le dans votre boîte de réception et dans les courriers indésirables, et conservez-le.

Le périmètre exact n'est pas publié. L'outil touché sert, d'après ENGIE, à des partenaires chargés de commercialiser ses offres : vendeurs à domicile, plateaux téléphoniques, stands en galerie commerciale ou intermédiaires. Les clients qui ont souscrit par l'un de ces canaux semblent donc les plus susceptibles d'y figurer, mais rien ne permet d'affirmer que les autres sont épargnés. Si vous êtes dans ce cas et n'avez rien reçu, la seule façon d'en avoir le cœur net est de poser la question à ENGIE (un modèle de demande figure plus bas).

Pourquoi un numéro de contrat et un PDL valent de l'or pour un escroc

Le PDL (point de livraison, 14 chiffres, pour l'électricité) et le PCE (point de comptage et d'estimation, pour le gaz) sont les identifiants de votre compteur. Ils figurent sur vos factures et ne changent pas quand vous changez de fournisseur. Pris isolément, ils n'ouvrent pas votre espace client. Leur valeur tient à autre chose : peu de gens les connaissent par cœur, et un interlocuteur qui vous les cite paraît forcément légitime.

Réunis avec votre nom, votre adresse, votre téléphone et votre numéro de contrat, ils forment ce que l'on appelle un kit de spear-phishing, ou hameçonnage ciblé : au lieu de lancer un filet au hasard, le fraudeur appelle une personne précise avec les bonnes références sous les yeux, comme un faux agent qui sonnerait avec votre dernière facture à la main. C'est exactement le scénario contre lequel ENGIE met en garde dans ses conseils aux particuliers : le fournisseur ne vous contactera jamais par e-mail, SMS ou téléphone pour obtenir un mot de passe ou des coordonnées bancaires, et vous ne devez jamais communiquer votre RIB, votre carte ou vos identifiants à un démarcheur.

Exemple d'appel frauduleux à prévoir

Voici un scénario fictif, construit uniquement avec les champs annoncés comme exposés. Il exploite la notification elle-même, ce qui le rend redoutable dans les semaines qui suivent un incident.

Autres variantes plausibles : un faux e-mail de « régularisation » ou de « facture impayée » reprenant votre numéro de contrat, un SMS annonçant un « trop-perçu à rembourser » avec un lien, ou un démarcheur concurrent qui connaît votre consommation de référence et vous pousse à signer sur le champ. Depuis août 2026, un professionnel ne peut plus vous appeler pour vous vendre quelque chose sans votre accord préalable, comme nous l'expliquions dans notre article sur la fin du démarchage téléphonique non consenti : un appel commercial surprise au sujet de votre contrat d'énergie est donc, en soi, un signal d'alerte.

Le fichier consulté chez le partenaire ne dit pas tout de vous. Votre date de naissance, votre adresse précédente ou les membres de votre foyer, qui rendent une usurpation vraiment crédible, se trouvent souvent ailleurs : dans les bases des courtiers de données et des annuaires de recherche de personnes. Faire retirer ces informations de plus de 100 bases de courtiers laisse au fraudeur un dossier incomplet, même si les données déjà consultées chez ENGIE restent hors d'atteinte.

Ce que chaque donnée permet, et la parade

L'IBAN ne figure pas dans la liste annoncée par ENGIE. C'est justement pour cela qu'il sera la cible des appels qui suivront. Si un prélèvement inconnu apparaît malgré tout sur votre compte, la marche à suivre est détaillée dans notre article sur la contestation d'un prélèvement frauduleux.

Que faire maintenant : le plan par ordre d'urgence

Ce plan s'appuie sur les consignes d'ENGIE et sur la fiche réflexe de Cybermalveillance.gouv.fr consacrée aux fuites de données personnelles, adaptées à un fichier qui contient des références de contrat d'énergie.

Aujourd'hui

• Retrouvez le message d'ENGIE et gardez-le. Ne cliquez sur aucun lien qu'il contient : pour vérifier votre compte, tapez vous-même l'adresse de l'espace client.
• Repérez sur une facture votre numéro de contrat et votre PDL ou PCE. Vous saurez ainsi reconnaître immédiatement un message qui les cite, et vous n'aurez jamais besoin de les « confirmer » à quelqu'un.
• Prévenez les autres titulaires du contrat et les proches dont vous gérez les factures, en particulier les personnes âgées : ils recevront les mêmes appels.

Cette semaine

• Adoptez une règle fixe au téléphone : quiconque se présente comme ENGIE, son partenaire ou un « service sécurité », vous raccrochez et rappelez le numéro de votre facture. Aucune exception, même si l'appelant connaît vos références.
• Changez le mot de passe de votre espace client s'il servait aussi ailleurs. Les mots de passe ne sont pas annoncés parmi les données touchées, mais un fraudeur qui connaît votre e-mail essaiera les combinaisons déjà parues dans d'autres fuites. Notre guide du mot de passe sécurisé vous aide à en créer un robuste.
• Signalez les messages suspects : SMS au 33700, e-mails sur signal-spam.fr. Si vous avez déjà donné un code ou votre IBAN, prévenez votre banque immédiatement et déposez plainte.
• Demandez à ENGIE ce qui vous concerne, au titre du droit d'accès (article 15 du RGPD), auprès du délégué à la protection des données indiqué dans sa politique de protection des données personnelles. Le modèle ci-dessous vous fait gagner du temps.

Dans les mois qui viennent

• Surveillez vos courriers liés à l'énergie : confirmation de souscription chez un fournisseur inconnu, avis de résiliation que vous n'avez pas demandé, échéancier modifié. Contactez ENGIE dès le premier courrier anormal ; en cas de litige non résolu, le Médiateur national de l'énergie informe les consommateurs sur energie-info.fr.
• Relisez vos relevés bancaires chaque mois pour repérer un prélèvement au nom d'un créancier que vous ne connaissez pas.
• Sans réponse à votre demande d'accès dans le délai prévu (en principe un mois), vous pouvez adresser une plainte à la CNIL.

Modèle : demande d'accès à adresser au DPO d'ENGIE

Votre adresse e-mail de facturation a pu être exposée bien avant cet incident, chez d'autres commerçants. Vérifiez gratuitement si cette adresse figure dans des fuites connues : le résultat ne vous dira pas si vous êtes dans le fichier du partenaire d'ENGIE, mais il vous montre ce que d'autres fuites ont déjà mis en circulation à votre sujet.

Pourquoi l'affaire n'est pas close avec l'e-mail d'ENGIE

Un accès non autorisé ne prouve pas, à lui seul, qu'une base a été copiée ou mise en vente, et aucune revendication n'est connue à ce jour. C'est une bonne nouvelle relative, pas une garantie. Les données volées apparaissent souvent avec retard sur le darknet, parfois plusieurs mois après l'incident, revendues par lots ou fusionnées avec d'autres fichiers, quand plus personne n'y prête attention. La surveillance continue vous prévient dès leur apparition ; une vérification gratuite, elle, ne photographie que la situation du jour où vous la lancez.

Si une faute dans la sécurité des données et un préjudice étaient établis, une demande de réparation au titre de l'article 82 du RGPD pourrait être envisagée, sans rien d'automatique : c'est au juge d'en apprécier le bien-fondé. Nous n'avons connaissance d'aucune action collective liée à cet incident à la date de publication. Si une telle action devait voir le jour, les abonnés EffaceData concernés en seraient informés et resteraient entièrement libres d'y participer ou non. Ceci n'est pas un conseil juridique.

Questions fréquentes

Comment savoir si je fais partie des clients ENGIE concernés ?

ENGIE prévient les clients concernés par e-mail. Cherchez dans votre messagerie, y compris dans les courriers indésirables, un message d'ENGIE évoquant un acte de cyber-malveillance ou des accès non autorisés à vos données. Le fournisseur n'a publié ni le nombre de clients touchés ni le nom du partenaire en cause. Si vous avez souscrit votre contrat par l'intermédiaire d'un vendeur partenaire (démarchage, stand, téléphone) et n'avez rien reçu, vous pouvez interroger le service client ou le délégué à la protection des données d'ENGIE.

Mes coordonnées bancaires ont-elles été dérobées ?

Selon ENGIE, les informations bancaires ne sont pas concernées. Le risque principal est ailleurs : avec votre nom, votre numéro de contrat et votre point de livraison, un escroc peut se faire passer pour ENGIE de façon très crédible afin d'obtenir votre IBAN, un code reçu par SMS ou un paiement. ENGIE rappelle qu'il ne demande jamais de mot de passe ni de coordonnées bancaires par e-mail, SMS ou téléphone.

Que peut faire un fraudeur avec mon numéro PDL ou PCE ?

Le PDL (électricité) et le PCE (gaz) identifient votre compteur. Seuls, ils ne donnent pas accès à votre espace client. Associés à votre identité et à votre adresse, ils permettent surtout de rendre un faux appel ou un faux courrier très convaincant, et ils font partie des informations demandées pour souscrire un contrat d'énergie. Surveillez donc tout courrier de bienvenue d'un fournisseur que vous n'avez pas choisi ou toute confirmation de résiliation que vous n'avez pas demandée.

L'e-mail d'ENGIE que j'ai reçu peut-il être lui-même une arnaque ?

C'est possible, car les fraudeurs imitent volontiers les notifications de fuite. Un message d'information légitime n'a pas besoin de vous faire cliquer pour saisir des identifiants ou des coordonnées bancaires. Ne suivez aucun lien du message : connectez-vous directement à votre espace client en tapant l'adresse particuliers.engie.fr, ou appelez le numéro figurant sur votre facture.

Faut-il changer de fournisseur ou résilier mon contrat ENGIE ?

Changer de fournisseur ne fait pas disparaître les données déjà consultées : votre PDL ou PCE reste attaché à votre logement, quel que soit le fournisseur. La décision vous appartient, mais elle ne règle pas le risque d'arnaque. Ce qui compte, c'est de ne jamais confirmer d'information ni de code à un interlocuteur qui vous appelle, et de surveiller vos courriers et vos relevés bancaires dans les mois qui viennent.

Cet article s'appuie sur les informations publiques disponibles au 26 octobre 2026 : le message adressé par ENGIE à ses clients tel que rapporté par Fuites Infos et Cyberattaque.org, et les conseils publiés par ENGIE sur son site. ENGIE n'a pas communiqué le nombre de clients concernés ni l'identité du partenaire. L'article sera mis à jour en cas de nouvelle communication officielle. Les droits RGPD évoqués le sont à titre d'information générale. Ceci n'est pas un conseil juridique.