ENGIE bestätigt Diebstahl von Kundendaten über externes Marketingwerkzeug

ENGIE, einer der weltweit größten Anbieter von Strom und Erdgas, teilte mit, kürzlich ungewöhnliche Datenzugriffe in einem Werkzeug festgestellt zu haben, das seine Geschäftspartner zur Gewinnung neuer Kunden und zur Vermarktung von Energieangeboten nutzen. Die internen IT-Systeme des Konzerns wurden nach dessen Darstellung nicht kompromittiert.

Berichten zufolge nennen die Benachrichtigungsschreiben als abgegriffene Daten den vollständigen Namen, die Postanschrift, die E-Mail-Adresse, die Telefonnummer, die Kundennummer, die Vertragsnummer sowie die Kennung des Lieferpunkts (PDL) beziehungsweise des Messpunkts (PCE). ENGIE hat den Angriff keiner Gruppe zugeordnet, und bis zur Veröffentlichung hatte sich weder eine Ransomwaregruppe noch eine Erpresserbande dazu bekannt. Die Kunden wurden an Vorsichtsmaßnahmen gegen möglichen Betrug und Phishing erinnert.

Datenschutzbeauftragte müssen Marketingdienstleister eingehend prüfen und die Datentrennung über Partnerportale hinweg verifizieren. Sicherheitsteams sollten die Kundengewinnungsplattformen eingeräumten Zugriffsberechtigungen auditieren, um sicherzustellen, dass Akquisesysteme keine übermäßigen Kundenprofildaten vorhalten. Unternehmen müssen gewährleisten, dass Verträge mit Dienstleistern eine unverzügliche Meldung von Verletzungen vorschreiben und den Partnerzugriff auf die erforderlichen Datensätze beschränken.

Vor einem Jahr hatte die Erpressergruppe Scattered LAPSUS$ Hunters Datensätze veröffentlicht, die sie nach eigener Darstellung aus einem bei Salesforce betriebenen System von Engie Records gestohlen hatte, der Energievertriebstochter von ENGIE North America.