ENGIE: brecha en la plataforma de socios, datos de clientes

ENGIE, el grupo energético francés presente en 30 países y con más de 90.000 empleados, ha confirmado que unos atacantes robaron datos de clientes de una herramienta utilizada por sus socios comerciales para captar nuevos clientes y vender ofertas de luz y gas en Francia. Según la empresa, sus sistemas informáticos internos no se vieron comprometidos y no hay datos bancarios afectados. La noticia la recogen de forma coincidente BleepingComputer, Infosecurity Magazine y Security Affairs.

Qué ha pasado

En un comunicado enviado a BleepingComputer y a Infosecurity Magazine, ENGIE explica que detectó recientemente una actividad inusual de acceso a datos dentro de esta herramienta. Las medidas que describe la empresa:

• los accesos implicados se desactivaron en cuanto se detectó la actividad;
• se abrió una investigación técnica en profundidad para reconstruir las circunstancias, delimitar el alcance e identificar a los clientes afectados;
• se pusieron en marcha medidas de supervisión reforzadas;
• se informó a las autoridades competentes y se avisó individualmente a cada cliente afectado, con las precauciones que debe tomar frente a fraudes y phishing.

Según Infosecurity Magazine, la empresa considera que el incidente ya está contenido. El portavoz dijo a BleepingComputer que afecta solo a clientes en Francia, sin indicar cuántos.

Qué datos se han expuesto

La lista procede de los correos de notificación enviados a los clientes: BleepingComputer y Security Affairs los citan directamente, mientras que Infosecurity Magazine se basa en capturas publicadas en X. Las tres fuentes coinciden en:

• nombre y apellidos;
• dirección postal, correo electrónico y número de teléfono;
• número de cliente y número de contrato;
• identificador del punto de suministro: PDL (Point de livraison) para la electricidad y PCE (Point de comptage et d’estimation) para el gas, equivalentes franceses del CUPS español.

En la notificación citada por Security Affairs, ENGIE habla de un «acto de ciberdelincuencia» que afectó a una herramienta utilizada por algunos socios para comercializar sus ofertas de energía.

Qué no se sabe todavía

• El socio y la plataforma: no se han revelado (Security Affairs). Infosecurity Magazine habla de una plataforma de marketing de terceros y califica el episodio de brecha en la cadena de suministro.
• El vector de acceso: ninguna fuente indica si se usaron credenciales de un socio, una vulnerabilidad de la herramienta u otra cosa; por eso no se pueden asociar técnicas concretas de MITRE ATT&CK a la intrusión.
• Fechas y cifras: no se sabe cuándo empezó el acceso, cuándo se descubrió ni cuántas personas están afectadas.
• Atribución: ENGIE no ha atribuido el ataque y, en la fecha de los artículos, ningún grupo de ransomware o de extorsión lo había reivindicado.

BleepingComputer e Infosecurity Magazine recuerdan un episodio anterior: en octubre de 2025 el grupo de extorsión Scattered LAPSUS$ Hunters publicó datos que decía haber robado de una instancia de Salesforce de la filial estadounidense de venta minorista de energía (Engie Resources), dentro de su campaña contra más de 100 instancias de Salesforce; según Infosecurity Magazine, el grupo afirmaba tener 3 GB de datos. Ninguna fuente relaciona aquel caso con el incidente actual.

Por qué importa también en Europa

Los datos expuestos no sirven para entrar en los sistemas, pero bastan para montar estafas muy creíbles: quien conoce el nombre, la dirección, el número de contrato y el código del punto de suministro puede hacerse pasar por el proveedor, por uno de sus socios o por un competidor, y proponer cambios de tarifa, reembolsos o facturas pendientes. La propia ENGIE advierte de que los datos pueden servir para suplantar al cliente ante otras organizaciones o para pedir pagos. Como señala Security Affairs, un número de contrato correcto no demuestra que quien llama sea legítimo.

En Europa, también en España e Italia, los contratos de luz y gas se venden a menudo a través de agencias y socios comerciales que trabajan con herramientas compartidas con el proveedor. Para las empresas energéticas, entidades esenciales según la NIS2, la seguridad de la cadena de suministro es una de las medidas obligatorias; para los datos personales de los clientes, el RGPD exige notificar a la autoridad de control en 72 horas y, cuando el riesgo es alto, informar a los interesados.

Por último, Infosecurity Magazine recoge datos de la aseguradora Resilience: desde julio de 2025 ningún cliente europeo o británico del sector de la energía y los servicios públicos ha declarado un ransomware, y los siniestros europeos con un coste registrado se refirieron solo a fraudes o a datos de clientes expuestos; en Estados Unidos, en cambio, el ransomware supone alrededor del 70% de las pérdidas del sector.

Qué hacer ya

Si compartes datos de clientes con socios, agencias o plataformas de marketing:

• haz inventario de los accesos externos al CRM y a las herramientas de venta, cierra las cuentas inactivas y exige autenticación multifactor o acceso mediante el SSO corporativo;
• limita lo que ve cada socio a sus propios contactos y a los campos que realmente necesita: la captación de clientes rara vez requiere el número de contrato o el código del punto de suministro;
• configura umbrales y alertas para consultas y exportaciones masivas, accesos desde direcciones o países nuevos y en horarios inusuales: es el tipo de anomalía que permitió a ENGIE detectar el acceso;
• revisa en los contratos con los proveedores los plazos de notificación de incidentes y la disponibilidad de los registros de acceso.

Para limitar el phishing después de una brecha:

• prepara con antelación los textos para avisar a los clientes e indica un canal oficial para verificar las solicitudes;
• pasa DMARC a rechazo en los dominios desde los que escribes a los clientes y vigila los dominios parecidos al tuyo registrados por terceros;
• recuerda a clientes y empleados que no compartan códigos SMS, contraseñas ni datos bancarios con quien los contacte sin previo aviso, y que accedan solo desde la web o la app oficiales.

Cómo puede ayudar ARXDOME

ARX Expose muestra lo que un atacante ve de tu empresa desde fuera: la configuración del correo (SPF y DMARC), los dominios parecidos al tuyo registrados por terceros, a menudo usados en las campañas de phishing que siguen a una brecha, y las cuentas de la empresa implicadas en brechas conocidas. ARX Sentry agrupa los eventos de servidores y firewalls en familias como ráfagas de intentos de acceso y accesos nocturnos, útiles para detectar un uso anómalo de las cuentas.

Última actualización: 29 de octubre de 2026