Para: clientes da ENGIE na França (eletricidade e gás, pessoas físicas) e quem vende energia por meio de parceiros. Este artigo se baseia no e-mail da ENGIE aos clientes e em declarações noticiadas por vários veículos e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 30 de outubro de 2026Ainda não se sabe
- Número de clientes afetados
- Nome do parceiro e da ferramenta, e como o acesso foi obtido
- Datas da invasão
- Se os dados foram publicados ou usados indevidamente
- Se a ENGIE publica um comunicado em seu próprio site
Não encontramos um comunicado sobre este incidente no próprio site da ENGIE (verificado em 30 de outubro). Os fatos abaixo vêm do e-mail aos clientes e das declarações da ENGIE noticiadas pela BleepingComputer, Génération NT, Univers Freebox e Selectra, que concordam nos itens abaixo.
O que os clientes da ENGIE devem fazer hoje
Trate como não comprovadas as ligações que citem seu número de contrato ou de medidor
Os itens expostos incluem seu identificador de cliente, número de contrato e PDL ou PCE. Quem liga e os cita não prova ser a ENGIE. As ligações de vendas e de "reembolso de pagamento a mais" montadas com esses dados costumam pedir um IBAN ou número de cartão "para finalizar". Não informe nenhum dos dois.
A própria página de dicas da ENGIE diz que seus atendentes preferem ligar sobre problemas de cobrança ou consumo em vez de enviar mensagem de texto ou e-mail, e que nenhum atendente ou e-mail oficial pedirá sua senha.
Desligue e retorne por um número de confiança
Na dúvida, desligue e ligue para um atendente da ENGIE no 09 69 324 324, o número sem tarifa especial indicado na página de dicas da ENGIE, ou no número impresso na sua fatura. Não use um número fornecido por quem ligou. Não leia em voz alta nenhum código enviado ao seu celular.
Não clique em links de mensagens inesperadas
Endereços de e-mail e números de telefone foram expostos, então são possíveis e-mails e mensagens falsos de "sua conta foi comprometida" que imitem o alerta real. A ENGIE diz que nunca pede senhas nem dados bancários por mensagem. Digite você mesmo o endereço da ENGIE ou use o app (como reconhecê-los: O que é phishing?).
Verifique sua conta de cliente em busca de alterações que você não pediu
O número PDL ou PCE é necessário para contratar ou transferir um contrato de energia, então quem o tiver, com seus dados, poderia tentar iniciar um em seu nome. É um risco geral, e a ENGIE não disse que tenha acontecido. Procure contratos, faturas ou alterações que você não reconhece e pergunte à sua fornecedora se algo parecer errado.
Denuncie ligações e mensagens de golpe
A orientação da Selectra é denunciar ligações ou mensagens de texto indesejadas ao serviço francês 33700. Se você foi enganado e informou dados de cartão ou bancários, entre em contato com seu banco imediatamente, como também diz a página de dicas da ENGIE.
O que aconteceu (segundo a ENGIE, conforme noticiado)
O que segue se baseia no e-mail da ENGIE aos clientes e em suas declarações noticiadas pelos veículos das Fontes. A data da invasão não foi divulgada.
Fim de outubro de 2026
A ENGIE começa a enviar e-mails aos clientes afetados na França. As reportagens que verificamos não dão a data do e-mail.27 de outubro
A BleepingComputer publica a declaração da ENGIE de que seus sistemas internos não foram comprometidos e de que cortou o acesso dos atacantes à plataforma.Em 30 de outubro
Nenhum outro comunicado encontrado. A ENGIE não disse quantos clientes foram afetados.
- Onde aconteceu
- Uma ferramenta usada por alguns de seus parceiros para prospectar clientes e promover ofertas de energia. A ENGIE diz que seus próprios sistemas de TI não foram comprometidos
- Dados expostos (segundo reportagens que citam o e-mail aos clientes)
- Nome e sobrenome, endereços postal e de e-mail, telefones, PDL (eletricidade) ou PCE (gás), identificador do cliente, número do contrato
- Não afetados, segundo a ENGIE
- Dados bancários
- Quem é atingido
- Clientes na França, cada um informado individualmente
- Medidas tomadas
- Cortou o acesso dos atacantes à plataforma; informou as autoridades competentes; entrou em contato com os clientes afetados com orientações sobre fraude e phishing
- Atribuição
- Nenhum grupo assumiu a autoria e nenhum foi nomeado
O que se sabe e o que não se sabe
Situação em 30 de outubro de 2026. Quando a ENGIE publicar mais, atualizaremos a coluna de situação.
| Item | O que a ENGIE disse | Situação |
|---|---|---|
| Nomes, endereços postais e de e-mail, telefones | Expostos (segundo reportagens que citam o e-mail aos clientes) | Confirmado (ENGIE, conforme noticiado) |
| PDL ou PCE, identificador do cliente, número do contrato | Expostos (segundo reportagens que citam o e-mail aos clientes) | Confirmado (ENGIE, conforme noticiado) |
| Dados bancários, incluindo o IBAN | Nenhum dado bancário é afetado | Não incluídos (ENGIE) |
| Senhas | Não listadas pela ENGIE | Não informado |
| Onde aconteceu | Uma ferramenta de parceiros para prospectar e promover ofertas; sistemas internos da ENGIE não comprometidos | Confirmado (ENGIE, conforme noticiado) |
| Clientes atingidos | Só França; cada um informado individualmente | Confirmado (ENGIE, conforme noticiado) |
| Autoridades | Informadas; um veículo (Génération NT) diz que as autoridades competentes, incluindo a CNIL, sem deixar claro se são palavras da ENGIE; outras reportagens não nomeiam nenhuma | Confirmado (ENGIE, conforme noticiado) |
| Número de clientes afetados | Não informado | Sob investigação |
| Datas da invasão | Não informadas | Não informado |
| Publicação ou uso indevido dos dados | Nenhuma assunção de autoria ou publicação noticiada | Não informado |
Como ler: 'não informado' não é 'não aconteceu'
Nenhum veículo que verificamos noticiou que os dados tenham sido publicados ou usados, e a ENGIE também não foi citada dizendo isso em nenhum sentido. Até a ENGIE dizer mais, presuma que ligações e mensagens que usem esses dados são possíveis.
Para que esses itens podem ser usados
Em geral, as combinações a seguir podem ser usadas indevidamente como descrito. Isso não significa que tenha acontecido neste caso.
- Nome + telefone + número de contrato + referência do medidor: quem liga pode soar como a ENGIE e inventar um pagamento a mais, uma correção de cobrança ou uma visita urgente
- E-mail + nome + identificador do cliente: permite escrever um e-mail convincente que copie o alerta da ENGIE e leve você a uma página de login falsa
- Referência do medidor + endereço: identifica seu ponto de fornecimento, que é a referência usada quando um contrato de energia é contratado ou transferido
Para empresas que dão a parceiros acesso a dados de clientes
A ENGIE diz que a exposição veio de uma ferramenta usada por alguns de seus parceiros, não de seus próprios sistemas, e não nomeou o parceiro nem disse como o acesso foi obtido. Esta seção não avalia as medidas da ENGIE nem de seus parceiros. São verificações gerais para qualquer empresa que compartilhe dados de clientes com parceiros de vendas.
Comunicado: os dados foram alcançados por uma ferramenta de parceiros
↓→
Quais campos a ferramenta realmente precisa mostrar?
→ Oculte números de contrato e de medidor, a menos que uma tarefa os exija
Comunicado: um "acesso incomum a dados" foi detectado
↓→
Você veria um volume incomum por conta de parceiro?
→ Defina um limite diário de registros por parceiro e alerte em 80%
Comunicado: parceiro não nomeado, número não informado
↓→
Você consegue listar quem pode ver quais clientes?
→ Mantenha logs de acesso para poder informar um número rapidamente
Mostre aos parceiros só os campos que a tarefa deles exige
Uma ferramenta de vendas raramente precisa de um número de contrato completo e de uma referência de medidor ao lado de um nome e telefone. Mascare ou omita os campos que um roteiro de ligação não usa, para que uma invasão da ferramenta exponha menos.
Defina um limite diário de registros por conta de parceiro e alerte em 80%
Meça na aplicação que serve os dados, por login de parceiro. Um limite como um número fixo de registros de clientes por conta por dia, com um alerta ao seu contato de segurança em 80%, transforma o "acesso incomum" em algo que você percebe no mesmo dia.
Mantenha logs de acesso que digam quem viu quais clientes
Poder dizer quantos clientes foram alcançados, e quais, é o que permite a uma empresa informar exatamente o que foi exposto. Mantenha os logs de acesso dos parceiros por pelo menos o período que seu regulador espera.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre rotas ou técnicas de invasão não divulgadas. O e-mail da ENGIE aos clientes é citado pelos veículos abaixo; não encontramos o comunicado no próprio site da ENGIE.
- BleepingComputer, "Energy giant ENGIE discloses data breach affecting customers" (27 de outubro de 2026) — bleepingcomputer.com
- Génération NT, "Engie confirme une fuite de données touchant ses clients en France" (28 de outubro de 2026, em francês) — generation-nt.com
- Univers Freebox, "Engie victime d'une nouvelle fuite de données : des clients français concernés, attention aux arnaques" (28 de outubro de 2026, em francês) — universfreebox.com
- Selectra, artigo sobre o vazamento e as ligações de falsos atendentes (27 de outubro de 2026, em francês) — selectra.info
- ENGIE, "Comment éviter le phishing et les arnaques sous le nom d'ENGIE" (página geral de dicas, consultada em 30 de outubro de 2026, em francês) — particuliers.engie.fr
Histórico de atualizações
2026-10-30: Primeira versão, com base no e-mail da ENGIE aos clientes e em declarações noticiadas pelos veículos acima (consultados em 30 de outubro) e na página geral de dicas da ENGIE. Atualizaremos este artigo se a ENGIE publicar um comunicado ou números.
Leia em seguida
- Golpes que seguem um vazamento: O que é phishing? / Como verificar se sua senha vazou
- Remetentes falsificados: Falsificação de e-mail, SPF, DKIM e DMARC
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026