Para: clientes de ENGIE en Francia (electricidad y gas, particulares), y cualquiera que venda energía a través de socios. Este artículo se basa en el correo de ENGIE a los clientes y en declaraciones recogidas por varios medios, y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 30 de octubre de 2026Aún no se sabe
- Número de clientes afectados
- Nombre del socio y de la herramienta, y cómo se obtuvo el acceso
- Fechas de la intrusión
- Si los datos se han publicado o usado indebidamente
- Si ENGIE publica un aviso en su propio sitio web
No encontramos ningún aviso sobre este incidente en el propio sitio web de ENGIE (comprobado el 30 de octubre). Los hechos siguientes proceden del correo a los clientes y de las declaraciones de ENGIE recogidas por BleepingComputer, Génération NT, Univers Freebox y Selectra, que coinciden en los datos que figuran a continuación.
Qué deben hacer hoy los clientes de ENGIE
Trate como no probadas las llamadas que citen su número de contrato o de contador
Los datos expuestos incluyen su identificador de cliente, su número de contrato y su PDL o PCE. Que quien llama los cite no prueba que sea ENGIE. Las llamadas comerciales y de "devolución de un pago de más" construidas con estos datos suelen pedir un IBAN o un número de tarjeta "para finalizar". No dé ninguno de los dos.
La propia página de consejos de ENGIE dice que sus asesores prefieren llamar por problemas de facturación o de consumo en lugar de enviar un SMS o un correo, y que ningún asesor ni correo oficial le pedirá su contraseña.
Cuelgue y devuelva la llamada a un número de confianza
En caso de duda, cuelgue y llame a un asesor de ENGIE al 09 69 324 324, el número sin recargo que figura en la página de consejos de ENGIE, o al número impreso en su factura. No use un número que le haya dado quien llama. No lea en voz alta ningún código enviado a su teléfono.
No haga clic en enlaces de mensajes inesperados
Se expusieron direcciones de correo y números de teléfono, por lo que son posibles correos y SMS falsos de "su cuenta está comprometida" que imiten la alerta real. ENGIE dice que nunca pide contraseñas ni datos bancarios por mensaje. Escriba usted mismo la dirección de ENGIE o use la app (cómo reconocerlos: ¿Qué es el phishing?).
Revise su cuenta de cliente por si hay cambios que no pidió
Hace falta un número PDL o PCE para contratar o trasladar un contrato de energía, así que quien lo tenga junto con sus datos podría intentar iniciar uno a su nombre. Es un riesgo general y ENGIE no ha dicho que haya ocurrido. Busque contratos, facturas o cambios que no reconozca y pregunte a su compañía si algo parece raro.
Denuncie las llamadas y SMS fraudulentos
La recomendación de Selectra es denunciar las llamadas o SMS no deseados al servicio francés 33700. Si le engañaron para dar datos de tarjeta o bancarios, contacte con su banco de inmediato, como dice también la página de consejos de ENGIE.
Qué pasó (según ENGIE, tal como se informó)
Lo siguiente se basa en el correo de ENGIE a los clientes y en sus declaraciones recogidas por los medios de las Fuentes. No se ha revelado la fecha de la intrusión.
Finales de octubre de 2026
ENGIE empieza a enviar correos a los clientes afectados en Francia. Las informaciones que comprobamos no dan la fecha del correo.27 de octubre
BleepingComputer publica la declaración de ENGIE de que sus sistemas internos no fueron comprometidos y de que cortó el acceso de los atacantes a la plataforma.A fecha del 30 de octubre
No se encontró ningún otro aviso. ENGIE no ha dicho cuántos clientes están afectados.
- Dónde ocurrió
- Una herramienta que algunos de sus socios usan para captar clientes y promocionar ofertas de energía. ENGIE dice que sus propios sistemas informáticos no fueron comprometidos
- Datos expuestos (según informaciones que citan el correo a los clientes)
- Nombre y apellidos, direcciones postal y de correo electrónico, teléfonos, PDL (electricidad) o PCE (gas), identificador de cliente, número de contrato
- No afectados, según ENGIE
- Datos bancarios
- Quiénes están afectados
- Clientes en Francia, cada uno informado individualmente
- Medidas adoptadas
- Cortó el acceso de los atacantes a la plataforma; informó a las autoridades competentes; contactó con los clientes afectados con consejos sobre fraude y phishing
- Atribución
- Ningún grupo lo ha reivindicado y no se ha nombrado ninguno
Qué se sabe y qué no
Estado a fecha del 30 de octubre de 2026. Cuando ENGIE publique más, actualizaremos la columna de estado.
| Elemento | Qué ha dicho ENGIE | Estado |
|---|---|---|
| Nombres, direcciones postales y de correo, teléfonos | Expuestos (según informaciones que citan el correo a los clientes) | Confirmado (ENGIE, según se informó) |
| PDL o PCE, identificador de cliente, número de contrato | Expuestos (según informaciones que citan el correo a los clientes) | Confirmado (ENGIE, según se informó) |
| Datos bancarios, incluido el IBAN | No se ven afectados datos bancarios | No incluidos (ENGIE) |
| Contraseñas | No enumeradas por ENGIE | No consta |
| Dónde ocurrió | Una herramienta de socios para captar clientes y promocionar ofertas; sistemas internos de ENGIE no comprometidos | Confirmado (ENGIE, según se informó) |
| Clientes afectados | Solo Francia; cada uno informado individualmente | Confirmado (ENGIE, según se informó) |
| Autoridades | Informadas; un medio (Génération NT) dice que las autoridades competentes, incluida la CNIL, sin dejar claro si son palabras de ENGIE; otras informaciones no nombran ninguna | Confirmado (ENGIE, según se informó) |
| Número de clientes afectados | No se da | En investigación |
| Fechas de la intrusión | No se dan | No consta |
| Publicación o uso indebido de los datos | No se informó de reivindicación ni publicación | No consta |
Cómo leerlo: 'no consta' no es 'no ocurrió'
Ningún medio que comprobamos informó de que los datos se publicaran o usaran, y tampoco se citó a ENGIE diciéndolo en un sentido u otro. Hasta que ENGIE diga más, suponga que son posibles llamadas y mensajes que usen estos datos.
Para qué pueden usarse estos datos
En general, las siguientes combinaciones pueden usarse indebidamente como se describe. Esto no significa que haya ocurrido en este caso.
- Nombre + teléfono + número de contrato + referencia de contador: quien llama puede parecer ENGIE e inventar un pago de más, una corrección de factura o una visita urgente
- Correo electrónico + nombre + identificador de cliente: permite redactar un correo convincente que copie la alerta de ENGIE y le envíe a una página de inicio de sesión falsa
- Referencia de contador + dirección: identifica su punto de suministro, que es la referencia usada al contratar o trasladar un contrato de energía
Para empresas que dan a socios acceso a datos de clientes
ENGIE dice que la exposición vino de una herramienta usada por algunos de sus socios, no de sus propios sistemas, y no ha nombrado al socio ni dicho cómo se obtuvo el acceso. Esta sección no valora las medidas de ENGIE ni de sus socios. Son comprobaciones generales para cualquier empresa que comparta datos de clientes con socios comerciales.
Aviso: se llegó a los datos a través de una herramienta de socios
↓→
¿Qué campos necesita realmente mostrar la herramienta?
→ Oculte los números de contrato y de contador salvo que una tarea los requiera
Aviso: se detectó un "acceso inusual a datos"
↓→
¿Vería un volumen inusual por cuenta de socio?
→ Fije un límite diario de registros por socio y alerte al 80 %
Aviso: socio no nombrado, cifra no dada
↓→
¿Puede enumerar quién puede ver a qué clientes?
→ Conserve registros de acceso para poder dar una cifra con rapidez
Muestre a los socios solo los campos que necesita su tarea
Una herramienta comercial rara vez necesita un número de contrato completo y una referencia de contador junto a un nombre y un teléfono. Enmascare u omita los campos que un guion de llamada no usa, para que una vulneración de la herramienta exponga menos.
Ponga un límite diario de registros por cuenta de socio y alerte al 80 %
Mida en la aplicación que sirve los datos, por inicio de sesión de socio. Un límite como un número fijo de registros de clientes por cuenta y día, con una alerta a su contacto de seguridad al 80 %, convierte el "acceso inusual" en algo que se nota el mismo día.
Conserve registros de acceso que digan quién vio a qué clientes
Poder indicar a cuántos clientes y a cuáles se llegó es lo que permite a una empresa decir exactamente qué se expuso. Conserve los registros de acceso de los socios al menos durante el periodo que espere su regulador.
Fuentes (registro público)
Los hechos de este artículo se basan en la siguiente información pública. No especulamos sobre vías o técnicas de intrusión no reveladas. Los medios siguientes citan el correo de ENGIE a los clientes; no encontramos el aviso en el propio sitio web de ENGIE.
- BleepingComputer, "Energy giant ENGIE discloses data breach affecting customers" (27 de octubre de 2026) — bleepingcomputer.com
- Génération NT, "Engie confirme une fuite de données touchant ses clients en France" (28 de octubre de 2026, en francés) — generation-nt.com
- Univers Freebox, "Engie victime d'une nouvelle fuite de données : des clients français concernés, attention aux arnaques" (28 de octubre de 2026, en francés) — universfreebox.com
- Selectra, artículo sobre la filtración y las llamadas de falsos asesores (27 de octubre de 2026, en francés) — selectra.info
- ENGIE, "Comment éviter le phishing et les arnaques sous le nom d'ENGIE" (página general de consejos, consultada el 30 de octubre de 2026, en francés) — particuliers.engie.fr
Historial de actualizaciones
2026-10-30: Primera versión, basada en el correo de ENGIE a los clientes y en declaraciones recogidas por los medios anteriores (consultados el 30 de octubre), y en la página general de consejos de ENGIE. Actualizaremos este artículo si ENGIE publica un aviso o cifras.
Lectura recomendada
- Estafas que siguen a una filtración: ¿Qué es el phishing? / Cómo comprobar si su contraseña se ha filtrado
- Remitentes suplantados: Suplantación de correo, SPF, DKIM y DMARC
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026