適用對象：法國的 ENGIE 客戶（個人用戶的電力與燃氣），以及透過合作夥伴銷售能源的任何人。本文根據 ENGIE 致客戶的電子郵件以及多家媒體報導的聲明撰寫，不涵蓋攻擊手法。
進行中：本文將隨機構發布更多資訊而更新
截至2026年10月30日尚不清楚
- 受影響客戶的數量
- 合作夥伴與工具的名稱，以及存取是如何取得的
- 入侵的日期
- 資料是否已被公開或遭濫用
- ENGIE 是否會在其自己的網站上發布通知
我們在 ENGIE 自己的網站上沒有找到關於本次事件的通知（10月30日查閱）。以下事實來自客戶郵件，以及 BleepingComputer、Génération NT、Univers Freebox 與 Selectra 報導的 ENGIE 聲明，它們在以下項目上一致。
ENGIE 客戶今天應該做什麼
對引用您合約編號或電表編號的來電，不要視為已獲證實
外洩項目包括您的客戶 ID、合約編號以及 PDL 或 PCE。來電者引用這些，並不能證明來電者就是 ENGIE。基於此類細節的推銷電話與「退還多付款項」電話，通常會要求您提供 IBAN 或卡號「以完成辦理」。兩者都不要給。
ENGIE 自己的建議頁面表示，其客服在遇到帳單或用量問題時，更傾向於打電話，而不是傳簡訊或電子郵件，並且沒有任何客服或官方電子郵件會索取您的密碼。
掛斷電話，撥打您信任的號碼
如有疑問，請掛斷電話，並撥打 ENGIE 建議頁面上列出的非加值電話號碼 09 69 324 324 聯絡 ENGIE 客服，或撥打帳單上印的號碼。不要使用來電者給您的號碼。不要唸出傳到您手機上的任何驗證碼。
不要點擊意外訊息中的連結
電子郵件地址與電話號碼已外洩，因此可能出現模仿真實提醒的「您的帳戶已遭入侵」假冒電子郵件與簡訊。ENGIE 表示從不透過訊息索取密碼或銀行資料。請自行輸入 ENGIE 的網址或使用其應用程式（辨識方法：什麼是網路釣魚？）。
檢查您的客戶帳戶中有無自己沒有申請的變更
設立或轉移能源合約需要 PDL 或 PCE 編號，因此持有該編號與您個人資料的人，可能試圖以您的名義開通合約。這是一般性風險，ENGIE 並未說明已發生。請查看有無您不認識的合約、帳單或變更，如有可疑之處，請詢問您的供應商。
檢舉詐騙電話與簡訊
Selectra 的指引是，將騷擾電話或簡訊檢舉至法國的 33700 服務。如果您被騙提供了卡片或銀行資料，請立即聯絡您的銀行，ENGIE 的建議頁面也是這樣說的。
發生了什麼（依據 ENGIE，據報導）
以下內容根據 ENGIE 致客戶的電子郵件，以及資訊來源中所列媒體報導的其聲明。入侵的日期未揭露。
2026年10月下旬
ENGIE 開始向法國受影響客戶寄送電子郵件。我們查閱的報導沒有給出郵件的日期。10月27日
BleepingComputer 發布 ENGIE 的聲明：其內部系統未遭入侵，並已切斷攻擊者對該平台的存取。截至10月30日
未發現進一步通知。ENGIE 沒有說明有多少客戶受到影響。
- 發生位置
- 其部分合作夥伴用於開發客戶與推廣能源方案的工具。ENGIE 表示其自身 IT 系統未遭入侵
- 外洩的資料（依據引述客戶郵件的報導）
- 姓名、郵寄地址與電子郵件地址、電話號碼、PDL（電力）或 PCE（燃氣）、客戶 ID、合約編號
- 未受影響，依據 ENGIE
- 銀行資料
- 涉及對象
- 法國的客戶，每人均已逐一收到通知
- 已採取的措施
- 切斷攻擊者對該平台的存取；告知有關主管當局；聯絡受影響客戶並提供防範詐騙與網路釣魚的建議
- 歸因
- 沒有組織宣稱對此負責，也沒有點名任何組織
已知與未知的內容
截至2026年10月30日的情況。待 ENGIE 發布更多資訊，我們將更新狀態欄。
| 項目 | ENGIE 所說的內容 | 狀態 |
|---|---|---|
| 姓名、郵寄地址與電子郵件地址、電話號碼 | 已外洩（依據引述客戶郵件的報導） | 已確認（ENGIE，據報導） |
| PDL 或 PCE、客戶 ID、合約編號 | 已外洩（依據引述客戶郵件的報導） | 已確認（ENGIE，據報導） |
| 銀行資料，包括 IBAN | 不涉及銀行資料 | 未包含（ENGIE） |
| 密碼 | ENGIE 未列出 | 未說明 |
| 發生位置 | 合作夥伴用於開發客戶與推廣方案的工具；ENGIE 的內部系統未遭入侵 | 已確認（ENGIE，據報導） |
| 涉及的客戶 | 僅限法國；每人均已逐一收到通知 | 已確認（ENGIE，據報導） |
| 有關當局 | 已告知；一家媒體（Génération NT）稱包括 CNIL 在內的主管當局，但未說明這是否是 ENGIE 的原話；其他報導均未點名 | 已確認（ENGIE，據報導） |
| 受影響客戶的數量 | 未給出 | 調查中 |
| 入侵的日期 | 未給出 | 未說明 |
| 資料的公開或濫用 | 未報導有宣稱或公開 | 未說明 |
如何理解：「未說明」不等於「未發生」
我們查閱的媒體均未報導資料被公開或被使用，也沒有引述 ENGIE 就此表態。在 ENGIE 作出更多說明之前，請假設使用這些細節的來電與訊息有可能出現。
這些項目可能被用來做什麼
一般而言，如下組合可能按所述方式被濫用。這並不意味著本次已經發生。
- 姓名 + 電話 + 合約編號 + 電表參考號：來電者可以裝成 ENGIE，編造多付款項、帳單更正或緊急上門
- 電子郵件地址 + 姓名 + 客戶 ID：讓人能夠寫出模仿 ENGIE 提醒、足以亂真的電子郵件，把您引向假冒登入頁面
- 電表參考號 + 地址：標識您的供應點，而它正是設立或轉移能源合約時使用的參考號
面向允許合作夥伴存取客戶資料的企業
ENGIE 表示，此次暴露來自其部分合作夥伴使用的工具，而非其自身系統，並且沒有點名該合作夥伴，也沒有說明存取是如何取得的。本節不評價 ENGIE 或其合作夥伴的措施。以下是任何與銷售合作夥伴共享客戶資料的企業的一般性檢查。
通知：資料經由合作夥伴的工具被觸及
↓→
該工具真正需要顯示哪些欄位？
→ 除非任務需要，否則隱藏合約編號與電表編號
通知：偵測到「異常的資料存取」
↓→
您能發現每個合作夥伴帳戶的異常存取量嗎？
→ 為每個合作夥伴設定每日紀錄上限，並在達到 80% 時告警
通知：未點名合作夥伴，未給出數量
↓→
您能列出誰可以查看哪些客戶嗎？
→ 保留存取日誌，以便迅速給出數量
只向合作夥伴顯示其任務所需的欄位
銷售工具很少需要把完整的合約編號與電表參考號和姓名、電話放在一起。對通話腳本用不到的欄位，請做遮罩或不顯示，這樣工具一旦被攻破，暴露的內容會更少。
對每個合作夥伴帳戶設定每日紀錄上限，並在 80% 時告警
在提供資料的應用程式處，按每個合作夥伴的登入來度量。例如設定每個帳戶每天可查看的客戶紀錄數上限，並在達到 80% 時向您的安全聯絡人告警，就能讓「異常存取」在當天被發現。
保留記錄誰查看了哪些客戶的存取日誌
能夠說明觸及了多少客戶、是哪些客戶，企業才能準確告知人們暴露了什麼。請將合作夥伴存取日誌至少保留監管機構所期望的期限。
來源（公開紀錄）
本文事實根據以下公開資訊。對尚未揭露的入侵途徑或手法不做推測。ENGIE 致客戶的電子郵件由下列媒體引述；我們在 ENGIE 自己的網站上沒有找到該通知。
- BleepingComputer，《Energy giant ENGIE discloses data breach affecting customers》（2026年10月27日）— bleepingcomputer.com
- Génération NT，《Engie confirme une fuite de données touchant ses clients en France》（2026年10月28日，法文）— generation-nt.com
- Univers Freebox，《Engie victime d'une nouvelle fuite de données : des clients français concernés, attention aux arnaques》（2026年10月28日，法文）— universfreebox.com
- Selectra，關於資料外洩與假冒客服來電的文章（2026年10月27日，法文）— selectra.info
- ENGIE，《Comment éviter le phishing et les arnaques sous le nom d'ENGIE》（一般性建議頁面，2026年10月30日查閱，法文）— particuliers.engie.fr
更新紀錄
2026-10-30：首次發布，依據 ENGIE 致客戶的電子郵件及上述媒體報導的聲明（10月30日查閱），以及 ENGIE 的一般性建議頁面。如果 ENGIE 發布通知或數字，本文將予以更新。
延伸閱讀
- 資料外洩之後的詐騙：什麼是網路釣魚？ / 如何檢查密碼是否外洩
- 偽造寄件者：電子郵件偽造、SPF、DKIM 與 DMARC
- 2026年其他事件：2026年資料外洩與網路攻擊