Un point d'entrée hors du système d'information L'intrusion n'a pas visé l'infrastructure d'Engie. Elle est passée par une plateforme commerciale externe, utilisée par des partenaires pour prospecter et commercialiser des offres d'énergie. Le groupe a coupé les connexions suspectes, notifié la CNIL, puis commencé à informer individuellement ses clients français à partir du 28 octobre 2026. Les données exposées : noms, prénoms, adresses postales et électroniques, numéros de téléphone, identifiants clients, références contractuelles PDL et PCE. Pas de coordonnées bancaires, selon le fournisseur. Pas de chiffre sur le nombre de personnes concernées. Troisième incident en trois ans. Des données « sans gravité » qui servent à l'escroquerie L'absence d'IBAN rassure à tort. Un escroc qui connaît le numéro de contrat et le point de livraison de sa cible peut se présenter comme conseiller avec une crédibilité réelle. Une régularisation de facture, un remboursement à valider, une mise à jour contractuelle. Et la demande d'IBAN arrive en fin d'appel. La sous-traitance, angle mort du registre Le RGPD est clair sur ce point. L'article 28 rgpd impose au responsable de traitement de ne recourir qu'à des sous-traitants offrant des garanties suffisantes. Sa responsabilité peut être recherchée même si la faille provient d'un tiers. Le problème, c'est la visibilité. Les grandes organisations investissent dans la protection de leur cœur de système. Mais leurs données clients circulent dans des outils de distribution opérés par d'autres, ouverts à des réseaux de partenaires, alimentés par des exports réguliers. Ces outils sont souvent souscrits par la direction commerciale, hors du circuit achats IT. Rarement dans le registre. Encore plus rarement audités. Reprendre la main sur le périmètre partenaires La réponse ne se limite pas à une clause contractuelle. Il faut savoir, outil par outil, quelles données partent, vers qui, avec quelle authentification, quelle journalisation, et à quelle fréquence les accès sont revus. Un audit de conformité centré sur les flux sortants vers les partenaires donne souvent des résultats surprenants : comptes inactifs jamais fermés, exports complets là où quelques champs suffiraient, absence de double authentification. Le contrat fixe les responsabilités. Il ne dit pas qui s'est connecté hier soir.
