ENGIE: violata piattaforma dei partner, dati dei clienti francesi

ENGIE, il gruppo francese dell’energia attivo in 30 paesi con oltre 90.000 dipendenti, ha confermato che alcuni attaccanti hanno sottratto dati di clienti da uno strumento usato dai partner commerciali per cercare nuovi clienti e vendere le offerte di luce e gas in Francia. Secondo l’azienda i sistemi informatici interni non sono stati compromessi e non sono coinvolti dati bancari. La notizia è riportata in modo concorde da BleepingComputer, Infosecurity Magazine e Security Affairs.

Cosa è successo

In una dichiarazione inviata a BleepingComputer e a Infosecurity Magazine, ENGIE spiega di aver individuato di recente un’attività anomala di accesso ai dati all’interno di questo strumento. Le misure descritte dall’azienda:

• gli accessi interessati sono stati disattivati appena l’attività è stata rilevata;
• è stata avviata un’indagine tecnica approfondita per ricostruire le circostanze, delimitare la portata e individuare i clienti coinvolti;
• è stato introdotto un monitoraggio rafforzato;
• sono state informate le autorità competenti e ogni cliente coinvolto è stato avvisato individualmente, con le precauzioni da prendere contro frodi e phishing.

Secondo Infosecurity Magazine l’azienda considera l’incidente ormai contenuto. Il portavoce ha detto a BleepingComputer che riguarda solo clienti in Francia, senza indicarne il numero.

Quali dati sono esposti

L’elenco viene dalle email di notifica inviate ai clienti: BleepingComputer e Security Affairs le citano direttamente, Infosecurity Magazine si basa su schermate pubblicate su X. Le tre fonti concordano su:

• nome e cognome;
• indirizzo postale, indirizzo email e numero di telefono;
• codice cliente e numero di contratto;
• identificativo del punto di fornitura: PDL (Point de livraison) per l’elettricità e PCE (Point de comptage et d’estimation) per il gas, gli equivalenti francesi dei nostri POD e PDR.

Nella notifica citata da Security Affairs, ENGIE parla di un «atto di cyber-malevolenza» che ha colpito uno strumento usato da alcuni partner per commercializzare le offerte di energia.

Cosa non si sa ancora

• Il partner e la piattaforma: non sono stati resi noti (Security Affairs). Infosecurity Magazine parla di una piattaforma di marketing di terze parti e definisce l’episodio una violazione della catena di fornitura.
• Il vettore d’accesso: nessuna fonte indica se siano state usate credenziali di un partner, una vulnerabilità dello strumento o altro; per questo non si possono associare tecniche MITRE ATT&CK specifiche all’intrusione.
• Tempi e numeri: non è noto quando sia iniziato l’accesso, quando sia stato scoperto né quante persone siano coinvolte.
• Attribuzione: ENGIE non ha attribuito l’attacco e, alla data degli articoli, nessun gruppo di ransomware o di estorsione l’aveva rivendicato.

BleepingComputer e Infosecurity Magazine ricordano un episodio precedente: nell’ottobre 2025 il gruppo di estorsione Scattered LAPSUS$ Hunters aveva pubblicato dati che diceva di aver sottratto da un’istanza Salesforce della controllata statunitense per la vendita di energia al dettaglio (Engie Resources), nella campagna contro oltre 100 istanze Salesforce; secondo Infosecurity Magazine il gruppo dichiarava 3 GB di dati. Nessuna fonte collega quel caso all’incidente attuale.

Perché interessa anche in Italia

I dati esposti non servono a entrare nei sistemi, ma bastano a costruire truffe molto credibili: chi conosce nome, indirizzo, numero di contratto e codice del punto di fornitura può presentarsi come il fornitore, un suo partner o un concorrente, e proporre cambi di offerta, rimborsi o bollette da saldare. ENGIE stessa avverte che i dati possono servire a farsi passare per il cliente presso altre organizzazioni o a chiedere pagamenti. Come nota Security Affairs, un numero di contratto corretto non dimostra che chi chiama sia legittimo.

Anche in Italia la vendita di contratti di luce e gas passa spesso da agenzie e partner commerciali che lavorano su strumenti condivisi con il fornitore. Per le aziende dell’energia, soggetti essenziali per la NIS2, la sicurezza della catena di fornitura è tra le misure obbligatorie; per i dati personali dei clienti valgono la notifica al Garante entro 72 ore e, quando il rischio è elevato, la comunicazione agli interessati previste dal GDPR.

Infosecurity Magazine riporta infine i dati dell’assicuratore Resilience: dal luglio 2025 nessun cliente europeo o britannico del settore energia e servizi ha denunciato un ransomware, e i sinistri europei con un costo registrato hanno riguardato solo frodi o dati dei clienti esposti; negli Stati Uniti il ransomware vale invece circa il 70% delle perdite del settore.

Cosa fare subito

Se affidi dati dei clienti a partner, agenzie o piattaforme di marketing:

• fai l’inventario degli accessi esterni a CRM e strumenti di vendita, chiudi le utenze inattive e richiedi l’autenticazione a più fattori o l’accesso tramite SSO aziendale;
• limita la visibilità di ogni partner ai propri contatti e ai soli campi necessari: chi fa prospezione raramente ha bisogno di numero di contratto e codice del punto di fornitura;
• attiva soglie e allarmi su consultazioni ed esportazioni massive, accessi da indirizzi o paesi nuovi e in orari insoliti: è il tipo di anomalia che ha permesso a ENGIE di accorgersi dell’accesso;
• verifica nei contratti con i fornitori i tempi di notifica degli incidenti e la disponibilità dei registri di accesso.

Per limitare il phishing dopo una violazione:

• prepara in anticipo i testi per avvisare i clienti e indica un canale ufficiale per verificare le richieste;
• porta DMARC in modalità di rifiuto sui domini da cui scrivi ai clienti e tieni d’occhio i domini simili ai tuoi registrati da altri;
• ricorda a clienti e dipendenti di non comunicare codici SMS, password o dati bancari a chi li contatta senza preavviso, e di accedere solo dal sito o dall’app ufficiali.

Come può aiutare ARXDOME

ARX Expose mostra cosa vede un attaccante della tua azienda da fuori: la configurazione della posta (SPF e DMARC), i domini simili al tuo registrati da altri, spesso usati nelle campagne di phishing che seguono una violazione, e gli account aziendali coinvolti in violazioni note. ARX Sentry raggruppa gli eventi di server e firewall in famiglie come raffiche di tentativi di accesso e accessi notturni, utili per notare un uso anomalo delle utenze.

Ultimo aggiornamento: 29 ottobre 2026