Plenitude On The Road, le service de recharge pour voitures électriques du groupe italien Plenitude (Eni), a prévenu ses clients par courriel qu’une base de données les concernant avait été consultée par des intrus les 19 et 20 octobre 2026. Identité, numéro fiscal, coordonnées et historique détaillé des recharges font partie du lot. Les mots de passe et les cartes bancaires ne seraient pas touchés, mais le risque d’hameçonnage très crédible est réel.
Ce que l’opérateur a reconnu
D’après Cyberattaque.org, qui dit avoir obtenu une copie du message envoyé aux abonnés, l’entreprise confirme un accès non autorisé à une base clients, puis une sortie de données personnelles. Les accès employés par l’attaquant ont été coupés, aucune nouvelle intrusion n’a été repérée depuis et le service de recharge a continué de fonctionner normalement.
L’opérateur affirme n’avoir trouvé aucune trace de diffusion des fichiers, y compris sur le dark web. Il a signalé l’incident au CSIRT Italia, l’équipe nationale italienne de réponse aux incidents, ainsi qu’à l’autorité italienne de protection des données, et prépare une plainte auprès du parquet de Milan, selon Fuites Infos. Deux questions restent sans réponse publique : combien de clients sont touchés, et dans quels pays.
Les données exposées, et pourquoi elles comptent
La liste communiquée aux clients est longue :
- nom et prénom ;
- numéro d’identification fiscale ;
- adresse du domicile ;
- adresse électronique et numéro de téléphone ;
- historique des sessions de recharge : énergie consommée, date, heure et coût de chaque passage à la borne ;
- pour une partie des clients professionnels, nom de l’entreprise ou de l’employeur, raison sociale et numéro de TVA.
Selon l’entreprise, ni les identifiants de connexion ni les données de carte (numéro, date d’expiration, cryptogramme) ne figurent dans les éléments consultés. Cyberattaque.org précise qu’il n’est donc pas nécessaire de changer son mot de passe. Des vérifications sont toutefois en cours sur d’éventuels codes de réduction utilisés de manière frauduleuse.
Le point sensible tient à l’historique de recharge. Un escroc qui connaît le jour, l’heure et le montant d’une vraie session peut rédiger un faux message de facturation ou de remboursement presque impossible à distinguer d’un vrai. Cyberattaque.org met en garde contre ce type d’hameçonnage : un faux message au nom de Plenitude évoquant une recharge, une facture, un remboursement ou un problème de paiement. L’entreprise précise qu’elle ne demandera jamais un mot de passe ou des informations de paiement par courriel ou par téléphone.
Les clients français sont-ils concernés ?
Le service est aussi commercialisé en France, mais Fuites Infos indique que la présence de clients français parmi les victimes n’est pas établie à ce stade. En l’absence de chiffres officiels, tout abonné, en France comme en Italie, a intérêt à se considérer comme potentiellement exposé et à adopter les bons réflexes ci-dessous. Si vous avez reçu le courriel d’information, la question est tranchée.
Comment se protéger dans les prochaines semaines
- Méfiez-vous des messages au nom de Plenitude : remboursement, régularisation de facture, avoir à récupérer… Ne cliquez sur aucun lien ; ouvrez vous-même l’application ou le site officiel pour vérifier.
- Ne donnez jamais un code reçu par SMS, un mot de passe ou vos coordonnées bancaires à un interlocuteur au téléphone, même s’il cite correctement vos dernières recharges.
- Surveillez vos relevés et les éventuels codes promotionnels liés à votre compte.
- Clients professionnels : prévenez votre service comptable, car la raison sociale et le numéro de TVA exposés facilitent les fraudes au faux fournisseur.
- En cas de doute ou de préjudice, le dispositif public gratuit cybermalveillance.gouv.fr accompagne les victimes, comme le rappelle Fuites Infos.
Changer de mot de passe n’est pas exigé, mais cela reste une précaution peu coûteuse si vous réutilisez le même ailleurs.
Questions fréquentes
Mes coordonnées bancaires ont-elles été volées ?
D’après l’opérateur, cité par Cyberattaque.org et Fuites Infos, aucune donnée de carte bancaire ne figure parmi les informations consultées. Restez néanmoins prudent face à toute demande de paiement inattendue.
Dois-je changer mon mot de passe Plenitude ?
L’entreprise indique que les identifiants de connexion n’ont pas été touchés et qu’un changement n’est pas nécessaire. Le faire reste une mesure de prudence simple, surtout si ce mot de passe sert sur d’autres services.
Combien de personnes sont concernées ?
Ce chiffre n’a pas été communiqué, pas plus que la répartition par pays. Le volume exact de données extraites reste lui aussi inconnu au 23 octobre 2026.
Sources
- Plenitude On The Road : fuite de données après une cyberattaque — Fuites Infos, 2026-10-23
- Plenitude On The Road : des données clients exposées après un piratage — Cyberattaque.org, 2026-10-23