La fuite chez ENGIE n'a pris aucun numéro de carte. Elle a pris le seul numéro qui rend un appel frauduleux crédible.
ENGIE l'a confirmé : des attaquants ont atteint un outil utilisé par certains de ses partenaires pour commercialiser des offres d'énergie, en ont extrait des données clients, et leur accès a depuis été coupé. L'entreprise affirme que ses propres systèmes informatiques internes n'ont jamais été compromis. Elle n'a pas dit combien de personnes sont concernées, n'a nommé ni le partenaire ni l'outil, et l'exposition se limite aux clients situés en France. Certains d'entre eux ont reçu l'e-mail de notification dès le début octobre, bien avant que l'affaire ne soit relayée plus largement.
Ce qui est parti : nom et prénom, adresse postale, adresse e-mail, numéro de téléphone, identifiant client, numéro de contrat, et le PDL pour l'électricité ou le PCE pour le gaz. Aucune donnée bancaire, ce qu'ENGIE a bien pris soin de mettre en avant.
Ce dernier élément mérite qu'on s'y arrête. Un PDL est la référence du point exact par lequel l'électricité entre chez vous. Personne ne le connaît par coeur et la plupart des gens ne l'ont jamais cherché, ce qui explique très exactement pourquoi quelqu'un qui vous le récite, avec votre numéro de contrat dans la foulée, a l'air d'être le fournisseur d'énergie plutôt qu'un inconnu muni d'un tableur. Attendez-vous à des appels et des e-mails à propos d'une révision de tarif, d'un remboursement de trop-perçu ou d'un rendez-vous urgent pour le compteur, et attendez-vous à ce qu'ils commencent par des détails que seul ENGIE devrait connaître.
La règle qui survit à tout cela est ennuyeuse et sans exception : personne de légitime n'a besoin de vos coordonnées bancaires ni d'un paiement pendant un appel que vous n'avez pas passé, quelle que soit la quantité d'informations déjà en sa possession. Raccrochez, trouvez le numéro imprimé sur une facture, rappelez ce numéro-là. Et si vous voulez savoir lesquelles de vos adresses e-mail circulent déjà sur des listes de ce type, la vérification Confidentialité et comptes de Tendvane les recherche une par une dans les fuites connues.