ENGIE notifie une violation de données clients après la compromission d'une plateforme marketing partenaire

ENGIE, l'un des plus grands fournisseurs d'électricité et de gaz naturel au monde, a indiqué avoir récemment détecté une activité inhabituelle d'accès aux données dans un outil que ses partenaires commerciaux utilisent pour prospecter de nouveaux clients et commercialiser des offres d'énergie. Selon l'entreprise, ses systèmes informatiques internes n'ont pas été compromis.

Selon des informations de presse, les lettres de notification indiquent que les attaquants ont obtenu les noms et prénoms, l'adresse postale, l'adresse électronique, le numéro de téléphone, l'identifiant client, le numéro de contrat ainsi que le Point de livraison (PDL) ou le Point de comptage et d'estimation (PCE). ENGIE n'a attribué l'attaque à aucun groupe, et aucun groupe de rançongiciel ou d'extorsion ne l'avait revendiquée au moment de ces révélations. Les clients ont reçu un rappel des précautions à prendre contre d'éventuelles tentatives de fraude ou d'hameçonnage.

Les délégués à la protection des données doivent vérifier la gouvernance des accès au sein des réseaux de vente tiers et des portails partenaires. Les audits techniques doivent garantir que les outils de prospection externalisés fonctionnent selon des limites d'accès strictes, ne collectent que les données d'abonnés strictement nécessaires et font l'objet de contrôles réguliers des identifiants afin de réduire les risques liés à la chaîne d'approvisionnement.

Il y a un an, le groupe d'extorsion Scattered LAPSUS$ Hunters avait divulgué des données qu'il affirmait avoir dérobées dans un système Salesforce d'Engie Records, la filiale de fourniture d'énergie d'ENGIE North America.