Effy, spécialiste français de la rénovation énergétique, confirme un incident de sécurité ayant permis à un tiers non autorisé d’accéder aux informations personnelles de certains de ses clients. Dans un email dont Cyberattaque.org s’est procuré une copie, l’entreprise explique que les identifiants de connexion d’un artisan partenaire, la société Airtech, ont été utilisés frauduleusement pour accéder à sa plateforme professionnelle. Les données concernées comprennent notamment les adresses des chantiers, la nature des travaux envisagés et les créneaux de disponibilité des particuliers.
Fondé en 2008, Effy est un groupe français spécialisé dans l’accompagnement des travaux de rénovation énergétique. Basé à Paris, il aide les particuliers à réaliser leurs projets d’isolation, de chauffage ou d’installation de pompes à chaleur, notamment en les mettant en relation avec des artisans qualifiés. L’entreprise revendique plus de 5 000 professionnels partenaires et accompagne environ 100 000 foyers chaque année.
Les identifiants d’un artisan utilisés pour accéder aux dossiers de clients
Dans sa notification, Effy confirme qu’un individu non autorisé a utilisé les identifiants de connexion de la société Airtech pour accéder à son espace professionnel Effy Pro.
Cette plateforme permet aux artisans partenaires de consulter les projets de rénovation transmis par Effy, de contacter les particuliers et de suivre leurs dossiers.
Les clients concernés avaient été mis en relation avec Airtech pour la réalisation de leurs travaux. Leurs informations figuraient donc dans l’environnement accessible avec les identifiants de cette entreprise.
Effy précise que ses propres systèmes informatiques n’ont pas été piratés. L’entreprise indique également qu’aucune faille de sécurité ni aucune fuite de mots de passe n’a été identifiée sur sa plateforme.
La date exacte de l’accès frauduleux, sa durée et le nombre de dossiers potentiellement consultés ne sont pas communiqués.
Adresses des chantiers, coordonnées et disponibilités parmi les données concernées
La nature des informations accessibles constitue un élément particulièrement sensible de cet incident.
Selon Effy, les données concernées comprennent :
- Civilités, noms et prénoms des particuliers ;
- Adresses personnelles ;
- Adresses précises des chantiers ;
- Numéros de téléphone ;
- Adresses email ;
- Nature des travaux envisagés ;
- Créneaux pendant lesquels les particuliers sont joignables.
Ces informations pourraient permettre à un individu malveillant de connaître précisément le projet de rénovation d’un particulier et de disposer des coordonnées nécessaires pour le contacter.
La connaissance de l’adresse d’un chantier et de la nature des travaux peut également faciliter une usurpation d’identité particulièrement crédible d’un artisan ou d’un conseiller en rénovation énergétique.
Effy confirme qu’aucune donnée bancaire appartenant aux clients concernés n’a été consultée. L’entreprise ne précise pas si les autres informations ont été simplement rendues accessibles ou effectivement copiées par l’attaquant.
Un logiciel espion pourrait être à l’origine de la compromission
Dans sa communication, Effy avance une piste concernant l’origine de l’incident.
Les identifiants de la société Airtech auraient vraisemblablement été récupérés sur Internet, après le piratage de l’ordinateur d’un professionnel ou l’installation d’un logiciel espion.
Ce scénario correspond notamment au fonctionnement des logiciels malveillants appelés infostealers, capables de récupérer des mots de passe enregistrés dans les navigateurs, des cookies de session et d’autres informations d’authentification.
Ces données peuvent ensuite circuler sur des marchés cybercriminels et être utilisées pour se connecter à des services professionnels sans exploiter directement de vulnérabilité sur la plateforme visée.
La présence effective d’un infostealer sur un ordinateur d’Airtech n’a cependant pas été confirmée. Effy présente cette explication comme une origine vraisemblable, et non comme une conclusion définitive de ses investigations.
Des risques de faux artisans et de paiements frauduleux
La combinaison des informations exposées présente des risques particuliers dans le secteur de la rénovation énergétique.
Un escroc pourrait se faire passer pour Airtech ou pour un conseiller Effy en reprenant les véritables caractéristiques du projet de travaux. Il pourrait notamment contacter un particulier pour annoncer une visite technique, réclamer un acompte ou demander des justificatifs administratifs.
La connaissance du chantier concerné, de son adresse et de la nature des équipements à installer pourrait renforcer considérablement la crédibilité de ces sollicitations.
Les fraudeurs pourraient également utiliser le prétexte des aides financières à la rénovation énergétique pour réclamer des coordonnées bancaires ou des informations personnelles supplémentaires.
Aucune escroquerie effectivement réalisée à partir des informations concernées n’a été confirmée dans la notification.
Effy coupe les accès frauduleux et déclare l’incident à la CNIL
À la suite de la découverte de l’incident, Effy indique avoir immédiatement interrompu l’accès du tiers non autorisé et réinitialisé les identifiants des comptes concernés.
L’entreprise précise également avoir renforcé la surveillance des connexions à son espace professionnel afin de détecter d’éventuelles tentatives d’accès frauduleuses.
Une déclaration a été effectuée auprès de la Commission nationale de l’informatique et des libertés (CNIL). Les particuliers concernés sont également informés directement par email.
Effy recommande notamment de ne jamais transmettre ses coordonnées bancaires, ses identifiants ou les codes de sécurité reçus par SMS à un interlocuteur non vérifié.
Au 11 novembre 2026, l’utilisation frauduleuse des accès professionnels d’Airtech est officiellement reconnue par Effy. En revanche, le nombre de clients concernés, la date de la compromission initiale et l’identité de l’attaquant restent inconnus.
Cette affaire illustre une menace importante pour les plateformes de mise en relation : même lorsqu’une entreprise n’est pas directement piratée, la compromission des identifiants d’un seul partenaire peut suffire à exposer des informations détaillées sur les projets et les coordonnées de ses clients.