Suez Eau France : données clients exposées après une cyberattaque chez un prestataire
Suez Eau France notifie ses clients le 20 août 2026 : un prestataire technique a été victime d'une cyberattaque et une partie des données extraites, dont des pièces d'identité et des RIB, a été rendue accessible en ligne.
- Organisation
- Suez Eau France (via un prestataire technique)
- Secteur
- Autre
- Pays
- France
- Date des faits
- Notification individuelle des clients concernés le 20 août 2026 ; la date de l'intrusion chez le prestataire n'a pas été rendue publique et les investigations étaient toujours en cours à cette date
- Ampleur
- Nombre non communiqué : Suez indique ne pas être en mesure de confirmer que les données de chaque personne notifiée ont effectivement été dérobées. Volume exclu du compteur cumulé faute de chiffre officiel
- Vecteur
- Cyberattaque chez un prestataire technique de Suez, ayant permis l'accès puis l'extraction de données clients, dont une partie a ensuite été rendue accessible sur Internet. Le prestataire n'a pas été nommé publiquement
- Données exposées
- Identité (nom, prénom), Coordonnées (adresse postale, téléphone, e-mail), Documents administratifs liés au contrat, Pièces d'identité et photographies pour une partie des personnes, Coordonnées bancaires (RIB/IBAN) pour une partie des personnes, Éléments relatifs à la situation personnelle
Le 20 août 2026 en soirée, Suez Eau France a informé une partie de ses clients qu’un de ses prestataires techniques avait été victime d’une cyberattaque ayant permis l’accès puis l’extraction de données personnelles. L’entreprise précise qu’une partie de ces éléments a ensuite été rendue accessible sur Internet, ce qui distingue cet incident d’une simple intrusion sans diffusion : les données concernées circulent.
Le périmètre décrit dans la notification couvre principalement les informations d’identité et de contact ainsi que les documents administratifs attachés aux contrats de fourniture d’eau. Suez ajoute que certaines situations peuvent impliquer des pièces d’identité, des photographies ou des coordonnées bancaires de type RIB, sans préciser combien de personnes sont concernées par ces catégories les plus sensibles. Ce sont pourtant elles qui déterminent le niveau de risque réel, une copie de carte d’identité associée à un justificatif de domicile constituant le socle habituel des dossiers d’ouverture de compte frauduleux.
L’entreprise indique que les investigations se poursuivent et qu’elle n’est pas en mesure, à ce stade, de confirmer que les données de chaque destinataire de la notification ont effectivement été dérobées. Cette formulation est courante lorsqu’un responsable de traitement choisit de notifier largement par précaution, mais elle laisse les personnes concernées sans indication sur ce qui les touche précisément. Ni le nom du prestataire, ni le nombre de dossiers, ni la date de l’intrusion n’ont été rendus publics.
L’incident illustre à nouveau le poids de la sous-traitance dans les violations de données françaises : le fournisseur d’eau n’a pas été attaqué directement, mais il reste responsable du traitement au sens du RGPD et c’est à lui qu’incombe l’information des personnes. Pour les clients concernés, les réflexes utiles sont la surveillance des prélèvements sur le compte associé au contrat, la vigilance face aux courriels ou appels évoquant une régularisation de facture d’eau, et le dépôt d’une plainte en cas d’usage frauduleux d’une pièce d’identité.