ENGIE confirma vazamento via ferramenta de parceiros comerciais
ENGIE
alegado em · apurado em
A ENGIE confirmou que clientes na França tiveram dados de contato e de contrato acessados sem autorização numa ferramenta usada por parceiros comerciais, e diz que os sistemas internos não foram atingidos. Ninguém reivindicou o caso, a ENGIE não informou quantos clientes foram afetados e não há prova pública de volume, de exfiltração em massa ou de ator.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
O incidente é real: a ENGIE o reconheceu a um veículo com histórico de apuração e enviou cartas individuais aos clientes, cujo teor foi reproduzido de forma independente por três sites franceses de monitoramento de vazamentos. Seria desmentido se a ENGIE retratasse a notificação, o que é improvável.
O escopo declarado é: clientes na França; nome, endereço, email, telefone, PDL/PCE, ID de cliente e número de contrato; sem dados bancários. Essa delimitação é a da própria ENGIE, com a ressalva de que as investigações feitas 'até agora' apontam isso. Sem auditoria externa, ela pode ser ampliada. Seria desmentida por uma amostra, por uma notificação complementar ou por um aviso de autoridade com campos adicionais.
A afirmação de que o núcleo de TI da ENGIE não foi comprometido, e de que a falha está numa ferramenta de terceiros, é declaração da vítima, interessada em delimitar o dano, e não tem verificação independente. A empresa também não nomeou a ferramenta, o parceiro, a data da intrusão nem o vetor. Para o leitor, importa o controle que falhou (acesso de parceiros a dados de clientes), não a fronteira jurídica do incidente.
O verbo 'roubar' vai além do que a ENGIE disse. A empresa fala em 'atividade incomum de acesso a dados' e em 'acessos não autorizados'. Foi o BleepingComputer que escreveu que os atacantes roubaram dados. Ainda não está demonstrado se houve extração em massa ou só consulta, embora o uso do termo 'atividade de acesso' num sistema de prospecção sugira que houve ao menos leitura de registros. A ausência de reivindicação até 27/10 não permite concluir nada sobre exfiltração.
Nada na evidência pública liga este caso às alegações anteriores contra marcas ENGIE: o vazamento atribuído ao Scattered LAPSUS$ Hunters sobre a ENGIE Resources (Salesforce, out/2025, ~537 mil linhas alegadas), a reivindicação da CoinbaseCartel contra engie.com (abr/2026) e a alegação de 621.019 'clientes' da ENGIE Green (jul/2026). Vetor, entidade e tipo de dado divergem. Esses números não devem ser atribuídos a este incidente. Seria desmentido se um ator publicasse dados com os campos PDL/PCE e contrato que batessem com as cartas.
O risco concreto é fraude de engenharia social com credibilidade acima do phishing comum: o golpista pode citar PDL/PCE e número de contrato reais, dados que o cliente associa à ENGIE. Esta é uma inferência nossa sobre o uso provável dos dados, sem caso de abuso documentado até agora.
Análise
O registro tinha o caso como 'claimed' e 'unverified', e o título do registro é a manchete do BleepingComputer. Isso está errado. Não existe alegação de ator: o que existe é uma confirmação da própria vítima, em declaração ao veículo e em cartas individuais aos clientes. O selo correto é 'confirmed' e o veredito é 'real'. Não há ator identificado, e nenhum número foi alegado ou confirmado.
O que a ENGIE afirma, segundo o BleepingComputer: identificou atividade incomum de acesso a dados numa ferramenta usada por parceiros na prospecção de clientes e na venda de ofertas de energia; cortou o acesso dos atacantes; os sistemas de TI internos não foram comprometidos; o incidente se limita a clientes na França; as autoridades foram notificadas e cada cliente afetado foi avisado. Segundo a empresa, os dados se limitam a contatos e informações de contrato, sem dados bancários. As cartas, reproduzidas pelo Fuites Infos, FrenchBreaches e Cyberattaque.org, listam nome, sobrenome, endereço, email, telefone, PDL (eletricidade) ou PCE (gás), identificador de cliente e número de contrato.
Onde a cobertura vai além da fonte: o BleepingComputer diz que os atacantes 'roubaram' dados. A empresa só descreve acesso incomum e acesso não autorizado. Não há demonstração pública de exfiltração em massa. Também é uma paráfrase a expressão 'plataforma de marketing': a ENGIE diz 'ferramenta usada por parceiros'. Mezha e Helix repetem o BleepingComputer e não acrescentam apuração própria. As fontes francesas reproduzem as cartas, mas também não trazem dados novos.
O número é a lacuna central. A ENGIE não informou quantos clientes foram afetados, nem a data ou a duração do acesso, nem o vetor. Qualquer cifra atribuída a este caso é alheia a ele. Em particular, os 621.019 'clientes' da ENGIE Green vêm de alegação de forum, e as próprias fontes que a noticiam dizem que o volume é indemonstrado e a amostra só mostra contas administrativas antigas. Os ~537 mil registros do caso Salesforce de 2025 também são alegação de ator e dizem respeito à ENGIE Resources, no Reino Unido. Não há base para somar nem para comparar com este incidente.
Há uma incerteza sobre o desenho do incidente. O Tinynews, citando publicações de terceiros, fala de um email de 2 de outubro que apontaria intrusão num prestador de ferramentas de comunicação e gestão de interações com clientes. Já as cartas divulgadas em 23-24/10 falam de ferramenta de venda de parceiros. A Cyberattaque.org escreve que a ENGIE informa 'novos clientes' e reconhece que não dá para saber se é extensão do mesmo incidente ou um segundo evento. Não conseguimos resolver isso. O FrenchBreaches menciona o ataque à Solutions30 (12/10) como contexto, mas sem evidência de relação. Tratamos como hipótese não sustentada.
Sobre quem se beneficia da narrativa: o enquadramento 'núcleo de TI intacto, falha em ferramenta de parceiro' é o que a vítima gostaria de ver publicado. Pode ser verdadeiro. Mas fica sem verificação independente, e a empresa não nomeou parceiro nem ferramenta. A responsabilidade regulatória pelo tratamento de dados (controlador e operador) continua sendo da ENGIE perante clientes e autoridades. Não encontramos manifestação da CNIL nem de outra autoridade sobre o caso. A ENGIE diz que notificou 'as autoridades competentes', sem nomeá-las. Nossa busca nesta rodada esbarrou no limite de consultas e não esgotou os canais oficiais; a ausência de comunicado do regulador é lacuna, não prova de inexistência.
A leitura do risco: nome, endereço, telefone e email, somados a PDL/PCE e número de contrato, formam um conjunto que permite abordagem fraudulenta convincente em nome da ENGIE ou de um parceiro. Isso é inferência nossa: não há caso de abuso documentado nas fontes lidas.
Cronologia
- 03 out 2025Scattered LAPSUS$ Hunters publica amostra atribuída à ENGIE Resources, no Reino Unido, na campanha contra clientes Salesforce; a base completa teria saído em 10/10. Caso à parte, sem ligação demonstrada com o atual.
- 20 abr 2026CoinbaseCartel reivindica ataque contra engie.com e ameaça publicar dados. Segundo as fontes lidas, nenhuma prova foi apresentada e a ENGIE não confirmou. Sem ligação demonstrada com o atual.
- 30 jul 2026Um usuário de fórum alega ter invadido o site da ENGIE Green por injeção SQL e cita 621.019 clientes. A amostra mostra só contas de administração do WordPress, antigas. Caso à parte.
- 02 out 2026Segundo o Tinynews, que cita publicação de terceiros, clientes teriam recebido nessa data um email 'Informação relativa aos seus dados pessoais', falando de intrusão num prestador. Informação de segunda mão. Não está provado que seja a mesma onda de notificações.
- 12 out 2026A Solutions30, grupo de serviços técnicos que atua em energia e telecom, sofre ciberataque, confirmado em 13/10. O FrenchBreaches só cita o caso como contexto. Não há evidência de relação com a ENGIE.
- 23 out 2026O Fuites Infos publica a notificação da ENGIE a clientes: acesso não autorizado numa ferramenta usada por parceiros para vender ofertas de energia, sem nomear parceiro, ferramenta, data nem número de afetados.
- 24 out 2026FrenchBreaches e Cyberattaque.org publicam o mesmo teor da notificação. O Tinynews registra que, até as 15h desse dia, não achou comunicado público detalhado da ENGIE.
- 27 out 2026O BleepingComputer publica a declaração do porta-voz da ENGIE: sistemas internos intactos, acesso dos atacantes cortado, autoridades notificadas, incidente limitado à França, número de afetados não informado.
Dados envolvidos
Impacto
Clientes da ENGIE na França cujos dados constavam na ferramenta de parceiros comerciais receberam cartas de notificação. Os dados expostos são de contato e de contrato; segundo a ENGIE, nenhum dado bancário foi afetado. O número de pessoas afetadas é desconhecido. Na prática, esses clientes ficam expostos a phishing, vishing e SMS fraudulentos que citam dados reais de contrato. Não há, nas fontes lidas, registro de fraude efetiva nem de publicação dos dados.
Recomendações
- Clientes ENGIE: trate como suspeito qualquer contato (ligação, SMS, email) que cite PDL/PCE, número de contrato ou ID de cliente. Não forneça nem confirme códigos ou dados. Valide pelo canal oficial iniciado por você, e não pelo contato recebido.
- Clientes ENGIE: desconfie de propostas de troca de fornecedor ou de contrato por telefone que usem dados reais seu. Peça confirmação escrita e confira junto ao fornecedor antes de assinar.
- Equipes de segurança com portais de parceiros comerciais: audite logs de acesso e exportação das ferramentas de prospecção, procurando consultas em lote, volume anômalo por conta, horários fora do padrão e origens de IP incomuns.
- Dê a cada parceiro e a cada usuário contas nominais com MFA, escopo mínimo de dados e limites de taxa de consulta e exportação. Revogue credenciais de parceiros após qualquer suspeita e exija rotação periódica.
- Minimize o que a ferramenta de prospecção exibe: identificadores como PDL/PCE e número de contrato só deveriam aparecer quando necessários à venda, e mascarados quando possível.
- Contratualmente, exija de parceiros prazo curto de notificação de incidente, logs retidos e acessíveis ao controlador, e direito de auditoria sobre quem acessa dados de clientes.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Quantos clientes foram afetados: só uma notificação à autoridade, um comunicado ou um aviso da ENGIE resolveria.
Qual ferramenta e qual parceiro foram comprometidos: depende da ENGIE ou do parceiro nomear, ou de investigação independente.
Como os atacantes entraram (credencial roubada, falha na aplicação, conta de parceiro): sem relatório técnico ou declaração do parceiro, fica indeterminado.
Datas de intrusão, detecção e corte do acesso: a ENGIE ainda não as datou. A notificação à autoridade e a data do comunicado aos clientes responderiam.
Se houve exfiltração ou só consulta: a confirmação teria de vir da ENGIE ou do surgimento do conjunto de dados.
Autoria: ninguém reivindicou até 27/10. Uma reivindicação com amostra verificável, ou atribuição por autoridade, resolveria.
Se o email de 2/10 (prestador de gestão de interações com clientes) é o mesmo incidente que as cartas de 23-24/10: só a ENGIE pode esclarecer, com a cronologia das notificações.
Se há relação com a Solutions30 ou com as alegações anteriores contra a ENGIE: hoje não há evidência. Seria preciso demonstração técnica ou declaração das partes.
Posição da CNIL ou de outra autoridade: não encontramos manifestação. Um comunicado ou registro público da autoridade resolveria.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.