Perusahaan energi ENGIE mengonfirmasi bahwa penyerang berhasil mengambil data pelanggannya di Prancis. Bukan sistem ENGIE sendiri yang ditembus, melainkan sebuah alat pemasaran yang dipakai mitra bisnisnya untuk menjaring calon pelanggan dan menawarkan paket energi. BleepingComputer melaporkan kasus ini pada 27 Oktober 2026.
Apa yang terjadi dan data apa yang terambil
ENGIE menyatakan timnya mendeteksi akses data yang tidak wajar pada alat tersebut, lalu memutus akses penyerang. Seorang juru bicara menegaskan sistem TI internal perusahaan tidak terkompromi. ENGIE sudah memberi tahu otoritas terkait dan menghubungi pelanggan terdampak satu per satu.
Menurut surel pemberitahuan kepada pelanggan, yang dimuat situs Fuites Infos pada 24 Oktober, data yang diakses mencakup nama depan dan belakang, alamat pos, alamat surel, nomor telepon, nomor titik pengiriman listrik (PDL) atau titik pengukuran gas (PCE), ID pelanggan, dan nomor kontrak. ENGIE menyebut data perbankan tidak terdampak.
Sejumlah hal masih gelap. ENGIE tidak menyebut nama alat atau vendornya, tidak mengungkap jumlah pelanggan yang terdampak, dan tidak menjelaskan kapan penyusupan terjadi. Hingga laporan terbit, belum ada kelompok peretas atau pemeras yang mengklaim serangan ini, dan ENGIE belum menunjuk pelaku. BleepingComputer mencatat insiden ini berbeda dari klaim terhadap instans Salesforce milik Engie Records, anak usaha ritel energi di Amerika Utara, pada 2025.
Mengapa data semacam ini berbahaya
Tanpa data bank pun, kombinasi nama, alamat, nomor telepon, dan nomor kontrak cukup untuk membuat penipuan terdengar meyakinkan. Penelepon atau pengirim surel bisa menyebut detail yang benar tentang kontrak korban, lalu meminta kode SMS atau data pembayaran. Pola serupa, yakni data kontak yang terambil dari sistem pendukung, juga muncul pada kasus Genesys yang mengakui data kontak bisnis pelanggannya terunduh.
Langkah yang perlu diambil
Pelanggan ENGIE, terutama yang berada di Prancis, sebaiknya tidak mengeklik tautan di surel yang mengaku dari ENGIE dan membuka situs atau aplikasi resminya secara langsung. ENGIE dan layanan pemerintah Prancis cybermalveillance.gouv.fr menyarankan kewaspadaan terhadap telepon dan pesan singkat, meskipun si penghubung menyebut data yang akurat. Jangan pernah membagikan kode SMS, kata sandi, atau data bank kepada pihak yang menghubungi lebih dulu.
Bagi pembaca di Indonesia, kasus ini tidak berdampak langsung, tetapi pelajarannya berlaku untuk perusahaan mana pun. Alat pemasaran dan prospek milik mitra menyimpan salinan data pelanggan, sehingga perlu masuk dalam penilaian risiko vendor, lengkap dengan pembatasan akses dan pemantauan aktivitas tidak wajar.
Sumber: BleepingComputer dan Fuites Infos. Gambar: BleepingComputer.