ENGIE: breșă la platforma partenerilor, date de clienți furate

ENGIE, grupul energetic francez prezent în 30 de țări, cu peste 90.000 de angajați, a confirmat că atacatorii au furat date ale clienților dintr-un instrument folosit de partenerii săi comerciali pentru a căuta clienți noi și a vinde oferte de energie electrică și gaze în Franța. Potrivit companiei, sistemele informatice interne nu au fost compromise și nu sunt implicate date bancare. Știrea este relatată în mod concordant de BleepingComputer, Infosecurity Magazine și Security Affairs.

Ce s-a întâmplat

Într-o declarație trimisă către BleepingComputer și Infosecurity Magazine, ENGIE explică faptul că a identificat recent o activitate neobișnuită de acces la date în acest instrument. Măsurile descrise de companie:

• accesele în cauză au fost dezactivate imediat ce activitatea a fost detectată;
• a fost deschisă o investigație tehnică aprofundată pentru a reconstitui circumstanțele, a delimita amploarea și a identifica clienții afectați;
• a fost introdusă o monitorizare consolidată;
• au fost informate autoritățile competente, iar fiecare client afectat a fost anunțat individual, cu măsurile de precauție împotriva fraudelor și a phishingului.

Potrivit Infosecurity Magazine, compania consideră că incidentul este acum ținut sub control. Purtătorul de cuvânt a declarat pentru BleepingComputer că este vorba doar de clienți din Franța, fără a preciza numărul acestora.

Ce date au fost expuse

Lista provine din emailurile de notificare trimise clienților: BleepingComputer și Security Affairs le citează direct, iar Infosecurity Magazine se bazează pe capturi de ecran publicate pe X. Cele trei surse sunt de acord asupra următoarelor date:

• numele și prenumele;
• adresa poștală, adresa de email și numărul de telefon;
• codul de client și numărul de contract;
• identificatorul locului de consum: PDL (Point de livraison) pentru energie electrică și PCE (Point de comptage et d’estimation) pentru gaze, echivalentele franceze ale codurilor POD și CLC din România.

În notificarea citată de Security Affairs, ENGIE vorbește despre un „act de criminalitate cibernetică” care a afectat un instrument folosit de unii parteneri pentru a comercializa ofertele de energie.

Ce nu se știe încă

• Partenerul și platforma: nu au fost dezvăluite (Security Affairs). Infosecurity Magazine vorbește despre o platformă de marketing terță și descrie episodul drept o breșă în lanțul de aprovizionare.
• Vectorul de acces: nicio sursă nu spune dacă au fost folosite credențialele unui partener, o vulnerabilitate a instrumentului sau altceva; de aceea, intruziunii nu i se pot asocia tehnici MITRE ATT&CK anume.
• Date și cifre: nu se știe când a început accesul, când a fost descoperit și nici câte persoane sunt afectate.
• Atribuire: ENGIE nu a atribuit atacul și, la data articolelor, niciun grup de ransomware sau de extorcare nu îl revendicase.

BleepingComputer și Infosecurity Magazine amintesc un episod anterior: în octombrie 2025, grupul de extorcare Scattered LAPSUS$ Hunters a publicat date pe care susținea că le-a furat dintr-o instanță Salesforce a filialei americane de furnizare a energiei către consumatori (Engie Resources), în cadrul campaniei împotriva a peste 100 de instanțe Salesforce; potrivit Infosecurity Magazine, grupul pretindea că deține 3 GB de date. Nicio sursă nu leagă acel caz de incidentul actual.

De ce contează și în Europa

Datele expuse nu permit accesul în sisteme, dar ajung pentru a construi escrocherii foarte credibile: cine cunoaște numele, adresa, numărul de contract și codul locului de consum se poate prezenta drept furnizor, partener al acestuia sau concurent și poate propune schimbări de ofertă, rambursări ori facturi de plătit. Chiar ENGIE avertizează că datele pot fi folosite pentru a se da drept client în fața altor organizații sau pentru a cere plăți. După cum observă Security Affairs, un număr de contract corect nu dovedește că cel care sună este legitim.

În Europa, inclusiv în România și Italia, contractele de energie și gaze se vând adesea prin agenții și parteneri comerciali care lucrează pe instrumente comune cu furnizorul. Pentru companiile din energie, entități esențiale conform NIS2, securitatea lanțului de aprovizionare este una dintre măsurile obligatorii; pentru datele personale ale clienților, GDPR cere notificarea autorității de supraveghere în 72 de ore și, când riscul este ridicat, informarea persoanelor vizate.

În sfârșit, Infosecurity Magazine prezintă datele asigurătorului Resilience: din iulie 2025, niciun client european sau britanic din sectorul energiei și al utilităților nu a raportat un atac ransomware, iar daunele europene cu un cost înregistrat au privit doar fraude sau date ale clienților expuse; în Statele Unite, în schimb, ransomware reprezintă aproximativ 70% din pierderile sectorului.

Ce să faci acum

Dacă împarți datele clienților cu parteneri, agenții sau platforme de marketing:

• fă inventarul acceselor externe la CRM și la instrumentele de vânzare, închide conturile inactive și cere autentificare multifactor sau acces prin SSO-ul companiei;
• limitează ce vede fiecare partener la propriile contacte și la câmpurile de care are cu adevărat nevoie: prospectarea rareori necesită numărul de contract sau codul locului de consum;
• setează praguri și alerte pentru consultări și exporturi masive, accese de la adrese sau țări noi și la ore neobișnuite: este tipul de anomalie care a permis ENGIE să observe accesul;
• verifică în contractele cu furnizorii termenele de notificare a incidentelor și disponibilitatea jurnalelor de acces.

Pentru a limita phishingul după o breșă:

• pregătește din timp textele de informare a clienților și indică un canal oficial pentru verificarea solicitărilor;
• trece DMARC pe respingere pentru domeniile de pe care le scrii clienților și urmărește domeniile asemănătoare cu al tău înregistrate de alții;
• amintește-le clienților și angajaților să nu comunice coduri SMS, parole sau date bancare celor care îi contactează pe neașteptate și să se autentifice doar de pe site-ul sau din aplicația oficială.

Cum te poate ajuta ARXDOME

ARX Expose îți arată ce vede un atacator despre compania ta din exterior: configurația poștei electronice (SPF și DMARC), domeniile asemănătoare cu al tău înregistrate de alții, folosite adesea în campaniile de phishing care urmează unei breșe, și conturile companiei implicate în breșe cunoscute. ARX Sentry grupează evenimentele de pe servere și firewalluri în familii precum rafale de încercări de autentificare și accese pe timp de noapte, utile pentru a observa folosirea anormală a conturilor.

Ultima actualizare: 29 octombrie 2026