フランスのエネルギー大手ENGIEは、世界最大級の電力・天然ガス供給事業者の一つです。同社は、事業パートナーが利用するマーケティングプラットフォームが侵害され、攻撃者に顧客データを盗まれたことを認めました。
ENGIEは再生可能エネルギー、インフラ、顧客向けエネルギー供給を30カ国で展開しています。従業員数は9万人超で、昨年の売上高は719億ユーロでした。
ENGIEの広報担当者はBleepingComputerに対し、侵害されたプラットフォームへの攻撃者のアクセスを遮断したと説明しました。また、社内システムは侵害されていないとしています。
広報担当者は次のように述べています。「ENGIEの社内ITシステムは侵害されていません。パートナーが顧客開拓やエネルギー商品のマーケティングに使用しているツールで、最近、通常とは異なるデータアクセスを確認しました」
広報担当者は影響を受けた顧客の数を明らかにしませんでした。ただし、BleepingComputerには、今回のインシデントはフランス国内の顧客に限られると述べています。
ENGIEは攻撃を受けて関係当局に報告し、影響を受けた顧客に連絡して侵害を通知しました。
ENGIEはBleepingComputerに次のように語りました。「これまでの調査では、対象のデータは顧客の連絡先情報と、エネルギー契約に関する一部の情報に限られています。銀行情報は影響を受けていません」
「透明性を確保するため、ENGIEは該当する顧客一人ひとりに個別に通知しました。あわせて、不正利用やフィッシングの試みから身を守るために取るべき予防策もお知らせしています」
ENGIEは、攻撃で盗まれた顧客情報の詳細を公表していません。ただし、影響を受けた顧客に送付した侵害通知の書簡では、攻撃者が次の情報にアクセスしたと説明しています。姓名、郵送先住所、メールアドレス、電話番号、供給地点番号（PDL）または計量・推定地点番号（PCE）、顧客ID、契約番号です。
ENGIEは攻撃を特定の攻撃グループによるものとはしていません。また、記事の公開時点で、ランサムウェア攻撃グループや恐喝グループによるENGIEの侵害に関する犯行声明は出ていません。
1年前には、恐喝グループ「Scattered LAPSUS$ Hunters」も、ENGIEの北米小売エネルギー供給子会社であるEngie RecordsのSalesforceインスタンスを侵害したとされる攻撃で盗んだと主張するレコードを流出させています。
