Fuite chez ENI

Le 27 décembre 2025, ENI — la filiale française du groupe énergétique italien Eni (Eni Gas & Power France) — a été visée par une fuite de données revendiquée par le groupe Lapsus$, qui a mis en vente une base de clients français sur des canaux cybercriminels. L'acteur a diffusé un échantillon d'environ un millier d'enregistrements et affirmé détenir au total 89 463 entrées. ENI a ensuite confirmé avoir été victime d'une « divulgation non autorisée » d'informations professionnelles, la couverture médiatique estimant entre 40 000 et 50 000 clients professionnels concernés.

Les enregistrements exposés concernaient des clients professionnels — restaurants, paroisses, copropriétés, coopératives et entreprises — et non l'ensemble de la base de particuliers du groupe. Le vecteur d'attaque n'a pas été officiellement confirmé ; les données ont pu être dérobées directement chez ENI ou via un partenaire.

Catégories de données signalées comme exposées :

• Raison sociale et référence client
• Nom et prénom du contact
• Adresse email et numéro de téléphone professionnels
• Type de profil et fonction
• Dates de dernière connexion, et dans certains échantillons le PDL (identifiant à 14 chiffres du point de livraison électrique)

ENI a indiqué qu'aucun mot de passe de compte, historique de consommation ni coordonnée bancaire n'avait été compromis. L'entreprise a déposé plainte auprès des autorités et notifié la CNIL. Le principal risque résiduel reste le phishing et la fraude très ciblés — y compris des changements de fournisseur frauduleux — exploitant les coordonnées professionnelles et le PDL exposés. L'enquête était en cours au moment de la divulgation.