Piratage EDF vol des données de 6,3 millions de clients

Les cyberattaques massives continuent en France, avec maintenant EDF et le piratage des données de 6,3 millions de clients. L’année 2024 avait été marquée par de nombreuses attaques visant des groupes français, comme Free, et ça se poursuit en 2025. Le hacker qui affirme avoir piraté EDF a pour pseudo Varun et il a posté son œuvre sur un forum populaire auprès des pirates.

Il a récemment hacké E.Leclerc et l’enseigne a confirmé le vol de données. Il s’est également attaqué aux données des clients de Conforama et les met en vente. Et maintenant, place EDF et plus précisément la base de données concernant Prime Énergie. C’est une aide financière proposée par EDF dans le cadre du dispositif des Certificats d’Économies d’Énergie (CEE).

Ce dispositif vise à encourager les particuliers et les professionnels à réaliser des travaux de rénovation énergétique pour réduire leur consommation d’énergie et leurs émissions de gaz à effet de serre. Les données piratées comprennent les noms, prénoms, sexes, adresses e-mail, adresses postales, numéros de téléphone portable, numéros de téléphone fixe, identifiants des clients, numéros de dossiers, dates de création des dossiers, types de travaux, statuts (prime versée par exemple), les montants estimés des primes, les montants des primes versées et des documents PDF. Pour prouver la cyberattaque, le hacker a mis en ligne 100 dossiers appartenant aux clients.

Il propose aux personnes intéressées de le contacter par Telegram ou sur le forum pour discuter d’un prix de vente pour la base de données. EDF n’a pas encore réagi au piratage. Néanmoins, son site dédié à Prime Énergie est actuellement hors ligne, suggérant que le groupe enquête sur la fuite.

EDF victime d’un piratage massif : les données de 6,3 millions de clients dérobées

Les cyberattaques à grande échelle se poursuivent en France, avec cette fois-ci EDF en ligne de mire. Le géant de l’énergie a été la cible d’un piratage ayant entraîné le vol des données personnelles de 6,3 millions de clients. Cette attaque s’inscrit dans une série de cyberoffensives qui ont marqué l’année 2024, touchant des groupes français comme Free, et qui semblent s’intensifier en 2025.

Un piratage d’envergure ciblant EDF

Le pirate informatique, se faisant appeler Varun, a revendiqué cette attaque sur un forum populaire dans la communauté cybercriminelle. Ce même hacker avait précédemment ciblé E.Leclerc, dont l’enseigne avait confirmé le vol de données. Il s’était également attaqué à Conforama, mettant en vente les informations des clients sur le dark web. Cette fois, c’est EDF qui est visé, et plus précisément la base de données liée au dispositif Prime Énergie.

Prime Énergie est une aide financière proposée par EDF dans le cadre des Certificats d’Économies d’Énergie (CEE). Ce dispositif vise à inciter les particuliers et les professionnels à réaliser des travaux de rénovation énergétique, dans le but de réduire leur consommation d’énergie et leurs émissions de gaz à effet de serre.

Quelles données ont été volées ?

Les informations dérobées sont extrêmement sensibles et comprennent :

• Les noms, prénoms et sexes des clients
• Les adresses e-mail et postales
• Les numéros de téléphone (portable et fixe)
• Les identifiants clients et numéros de dossier
• Les dates de création des dossiers
• Les types de travaux de rénovation réalisés
• Les statuts des dossiers (par exemple, prime versée ou en attente)
• Les montants estimés et versés des primes
• Des documents PDF contenant des informations détaillées

Pour prouver l’authenticité de la cyberattaque, le hacker a publié en ligne 100 dossiers clients en guise d’échantillon. Il propose aux acheteurs potentiels de le contacter via Telegram ou directement sur le forum pour négocier le prix de la base de données complète.

Une réaction d’EDF encore attendue

À l’heure actuelle, EDF n’a pas encore officiellement réagi à cette attaque. Cependant, le site dédié à Prime Énergie est actuellement hors ligne, ce qui laisse supposer que le groupe mène une enquête interne pour évaluer l’ampleur de la fuite et sécuriser ses systèmes.

Un contexte alarmant pour la cybersécurité en France

Cette attaque s’ajoute à une liste croissante de cyberincidents touchant des entreprises françaises. En 2024, des groupes comme Free, E.Leclerc et Conforama avaient déjà été victimes de piratages, exposant des millions de données personnelles. Ces incidents soulignent l’urgence pour les entreprises de renforcer leurs dispositifs de sécurité et de sensibiliser leurs clients aux risques liés à la protection des données.

Les autorités françaises, notamment l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information), pourraient être amenées à intervenir pour soutenir EDF dans la gestion de cette crise. Par ailleurs, les clients concernés sont invités à rester vigilants face à d’éventuelles tentatives de phishing ou d’escroquerie utilisant leurs données personnelles volées.

Quelles mesures pour les clients touchés ?

Si vous êtes client EDF et que vous avez bénéficié du dispositif Prime Énergie, voici quelques recommandations :

1. Surveillez vos comptes : vérifiez régulièrement vos relevés bancaires et vos e-mails pour détecter toute activité suspecte.
2. Changez vos mots de passe : utilisez des mots de passe robustes et uniques pour vos comptes en ligne, notamment ceux liés à votre fournisseur d’énergie.
3. Méfiez-vous des e-mails ou appels suspects : ne communiquez jamais vos informations personnelles en réponse à une demande non sollicitée.
4. Signalez toute activité frauduleuse : contactez EDF et les autorités compétentes en cas de doute.

Cette cyberattaque rappelle une fois de plus l’importance de la cybersécurité dans un monde de plus en plus connecté. Les entreprises doivent redoubler d’efforts pour protéger les données de leurs clients, tandis que ces derniers doivent rester vigilants face aux risques numériques.

Les conséquences de cette attaque Cyber Pour EDF

En cas de fuite de données personnelles, comme celle subie par EDF avec le piratage des données de 6,3 millions de clients, l’entreprise est soumise à des obligations strictes définies par le Règlement Général sur la Protection des Données (RGPD). Voici les principales obligations d’EDF dans ce contexte :

1. Notification à l’autorité de protection des données (CNIL en France)

EDF doit notifier la fuite de données à la CNIL dans un délai maximal de 72 heures après en avoir pris connaissance.
Cette notification doit inclure :

• La nature de la violation (type de données volées, nombre de personnes concernées, etc.).
• Les conséquences probables de la fuite (risques pour les droits et libertés des personnes).
• Les mesures prises ou envisagées pour remédier à la situation et limiter les impacts.

Si la notification n’est pas faite dans les 72 heures, EDF doit fournir une explication justifiant le retard.

2. Communication aux personnes concernées

Si la fuite de données est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes (par exemple, vol d’identité, fraude financière, etc.), EDF est tenu d’informer les clients concernés sans délai. Cette communication doit :

• Décrire la nature de la violation.
• Fournir les coordonnées du délégué à la protection des données (DPO) ou du point de contact pour obtenir plus d’informations.
• Recommander des mesures pour se protéger (changement de mots de passe, vigilance face au phishing, etc.).

3. Mise en place de mesures correctives

EDF doit agir rapidement pour :

• Identifier et corriger les vulnérabilités ayant permis la fuite de données.
• Sécuriser les systèmes pour éviter de nouvelles intrusions.
• Limiter les impacts de la fuite sur les clients (par exemple, en bloquant l’accès aux données volées ou en surveillant les activités suspectes).

4. Documentation de l’incident

EDF est tenu de documenter toute violation de données, y compris :

• Les faits liés à la fuite.
• Les conséquences de l’incident.
• Les mesures prises pour y remédier.
  Cette documentation doit être mise à disposition de la CNIL en cas de contrôle.

5. Coopération avec la CNIL

EDF doit coopérer pleinement avec la CNIL dans le cadre de l’enquête sur la fuite de données. Cela inclut la fourniture de toutes les informations demandées et la mise en œuvre des recommandations de l’autorité.

6. Sanctions potentielles en cas de manquement

Si EDF ne respecte pas ses obligations au titre du RGPD, elle s’expose à des sanctions financières pouvant aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu). En outre, la CNIL peut imposer des mesures correctives supplémentaires, comme des audits de conformité.

7. Prévention et responsabilité proactive

Au-delà de la gestion de l’incident, EDF a l’obligation de mettre en place des mesures techniques et organisationnelles pour garantir la sécurité des données personnelles. Cela inclut :

• La chiffrement des données sensibles.
• La formation des employés à la cybersécurité.
• La réalisation d’analyses d’impact sur la protection des données (AIPD) pour les projets à risque.
• La désignation d’un délégué à la protection des données (DPO) chargé de veiller au respect du RGPD.

8. Transparence et confiance

Enfin, EDF doit faire preuve de transparence envers ses clients et le public. Une communication claire et honnête sur les mesures prises pour résoudre la crise et protéger les données à l’avenir est essentielle pour restaurer la confiance.

En résumé, EDF doit non seulement gérer la crise actuelle en notifiant la CNIL et en informant les clients, mais aussi renforcer ses dispositifs de sécurité pour prévenir de futurs incidents. Le respect du RGPD est une obligation légale, mais aussi un enjeu de réputation pour l’entreprise.

À suivre pour plus d’informations sur les développements de cette affaire.