TotalEnergies : historiques d'achats de ses clients du Club dérobés

Un tiers malveillant a pénétré chez un prestataire technique du programme de fidélité Le Club de TotalEnergies Marketing France et en a extrait des données de clients. Selon l'enseigne, les informations bancaires ne sont pas concernées. L'incident a été révélé le 18 septembre 2026 par Cyberattaque.org.

Une intrusion chez un prestataire

Selon le courriel adressé aux adhérents et publié par Cyberattaque.org, un tiers malveillant s'est introduit dans les systèmes d'information d'un prestataire technique utilisé pour le programme Le Club. L'attaque ne vise pas directement les systèmes de TotalEnergies, précise l'article.

TotalEnergies Marketing France confirme un accès non autorisé et une extraction de données. Le courriel ne nomme pas le prestataire et ne décrit pas la méthode utilisée pour pénétrer dans son environnement informatique.

Le cabinet Kohen Avocats, qui a analysé le courriel, relève que la date de l'intrusion n'est pas indiquée. Il note aussi que le message ne donne ni le nombre de personnes touchées ni le détail des champs exposés.

Identités, comptes et historiques d'achats exposés

D'après le message, les données extraites sont de trois types : les données d'identification, les données du compte Club et l'historique de transactions. L'enseigne affirme qu'« aucune donnée bancaire ni aucun moyen de paiement n'a été impacté ».

Le nombre de clients concernés n'est pas connu. Le courriel ne précise pas non plus si tous les membres du programme sont touchés ou seulement une partie d'entre eux.

Cyberattaque.org évoque par ailleurs une base de 30 000 clients français de TotalEnergies qui serait proposée en téléchargement public. Cette information n'est pas confirmée et les sources disponibles ne la relient pas à l'incident du programme Le Club.

Une notification à la CNIL

TotalEnergies Marketing France a notifié la violation de données à la Commission nationale de l'informatique et des libertés (CNIL), l'autorité française de protection des données. Selon l'entreprise, elle a aussi pris des mesures techniques pour mettre fin à l'incident.

Le prestataire aurait, selon Cyberattaque.org, sécurisé son environnement depuis l'intrusion. Aucune source disponible ne mentionne à ce stade d'enquête judiciaire ni de plainte.

Aucune indemnisation n'est automatique, selon l'analyse du cabinet Kohen Avocats.

Un risque d'hameçonnage ciblé

Selon Cyberattaque.org, l'association d'une identité, d'un compte de fidélité et d'un historique d'achats peut faciliter des tentatives d'hameçonnage (phishing), c'est-à-dire des messages frauduleux qui imitent un organisme de confiance. Un escroc peut ainsi citer le programme Le Club ou un achat réel pour paraître crédible.

TotalEnergies demande à ses clients de se méfier des courriels, SMS ou appels qui utilisent son nom. L'entreprise précise que toute demande de coordonnées bancaires présentée comme une suite de l'incident doit être considérée avec prudence.

Ce que les clients doivent surveiller

Les adhérents du programme Le Club doivent surveiller leur boîte mail et leur téléphone. Les messages qui réclament un paiement ou des codes doivent être traités avec méfiance.

L'enseigne renvoie vers le site service-public.gouv.fr pour des conseils de cybermalveillance. Le courriel ne précise pas de calendrier pour la communication d'informations complémentaires.

Sollicitée par fuitededonnées.fr le 12 octobre 2026, TotalEnergies n'a pas encore répondu. Cet article sera mis à jour en cas de réponse.