ENGIE confirma furto de dados de clientes por meio de ferramenta externa de marketing

A ENGIE, uma das maiores fornecedoras de energia elétrica e gás natural do mundo, informou ter identificado recentemente uma atividade incomum de acesso a dados em uma ferramenta que seus parceiros comerciais usam para prospectar novos clientes e vender ofertas de energia. Segundo a empresa, seus sistemas internos de TI não foram comprometidos.

Segundo relatos, as cartas de notificação indicam que os invasores obtiveram nome e sobrenome, endereço postal, email, telefone, número de cliente, número do contrato e o código do ponto de entrega (PDL) ou do ponto de medição (PCE). A ENGIE não atribuiu o ataque a nenhum grupo, e nenhuma gangue de ransomware ou extorsão havia reivindicado a autoria até a publicação das reportagens. Os clientes foram lembrados das precauções contra possíveis tentativas de fraude e phishing.

Encarregados pelo tratamento de dados pessoais (DPO) precisam auditar fornecedores de marketing e verificar a segregação de informações em portais de parceiros. Equipes de segurança devem revisar os privilégios de acesso concedidos a ferramentas de aquisição de clientes para evitar que sistemas de prospecção retenham perfis excessivos. Organizações devem estipular em contrato a obrigação de notificação imediata de incidentes e restringir o acesso de parceiros apenas aos registros necessários.

Há um ano, o grupo de extorsão Scattered LAPSUS$ Hunters vazou registros que afirmou ter roubado de um sistema Salesforce da Engie Records, a subsidiária de fornecimento de energia da ENGIE North America.