L’espace client EDF ENR (désormais EDF solutions solaires) centralise le suivi de production solaire, les relevés de facturation et les coordonnées bancaires des propriétaires de panneaux photovoltaïques. Sécuriser cet accès ne se résume pas à choisir un mot de passe complexe. Les campagnes de phishing ciblant les portails liés à l’énergie se sont multipliées ces dernières années, avec des e-mails imitant parfaitement l’interface officielle pour récupérer identifiants et RIB.
Phishing EDF ENR : anatomie des attaques récentes
Les faux portails EDF ENR reproduisent la charte graphique du site officiel jusque dans les mentions légales. Le scénario est presque toujours le même : un e-mail ou un SMS signale un problème de facturation, un remboursement en attente ou une mise à jour obligatoire du compte. Le lien renvoie vers une page de connexion factice qui capture l’adresse e-mail et le mot de passe saisis.
Depuis 2024, les autorités et sites spécialisés signalent une augmentation notable des campagnes d’e-mails frauduleux liées aux espaces clients énergie, incluant les arnaques au chèque énergie et aux aides à l’autoconsommation. Le service-public.fr a publié une mise en garde spécifique sur la multiplication de ces mails et appels frauduleux.
Le réflexe le plus efficace reste le plus simple : ne jamais accéder à son espace client via un lien reçu par mail ou SMS. Taper soi-même l’adresse officielle dans le navigateur, ou utiliser un favori enregistré au préalable, coupe court à la majorité des tentatives de phishing.
| Vecteur d’attaque | Signal d’alerte | Réflexe adapté |
|---|---|---|
| E-mail avec lien de connexion | Expéditeur inconnu ou domaine légèrement modifié (edf-enr.com au lieu de edfenr.com) | Ne pas cliquer, taper l’URL officielle manuellement |
| SMS de « remboursement » | Demande de RIB ou de numéro de carte bancaire | Supprimer le SMS, signaler sur 33700 |
| Appel téléphonique (démarchage) | Pression pour une action immédiate, demande d’identifiants | Raccrocher, rappeler le numéro officiel EDF ENR |
| Faux formulaire de mise à jour | Champs demandant mot de passe actuel + nouveau simultanément | Changer le mot de passe uniquement depuis l’espace client officiel |
Authentification multifacteur sur un espace solaire : ce qui change
Entre 2024 et 2026, plusieurs guides de conformité encouragent fortement l’authentification multifacteur (MFA) pour les accès sensibles dans le secteur de l’énergie. Ce mécanisme ajoute une étape de vérification (code par SMS, application d’authentification, notification push) après la saisie du mot de passe.
Pour un compte EDF ENR lié au suivi de production photovoltaïque, la MFA protège particulièrement contre deux risques : la modification frauduleuse du RIB de versement (revente de surplus) et l’accès aux données de consommation qui peuvent servir à calibrer une arnaque téléphonique ultérieure.
Activer la MFA sur son compte EDF solutions solaires
Si l’option est proposée dans les paramètres de sécurité de l’espace client, l’activer prend moins de deux minutes. Privilégier une application d’authentification (type Google Authenticator ou Microsoft Authenticator) plutôt que le SMS, plus vulnérable à l’interception par SIM swapping.
Quand la plateforme ne propose pas encore la MFA nativement, sécuriser l’adresse e-mail associée au compte devient la priorité absolue. Un attaquant qui accède à la boîte mail peut réinitialiser le mot de passe de l’espace client sans difficulté.
Mot de passe et adresse e-mail : les failles les plus exploitées
La majorité des compromissions de comptes énergie ne passent pas par une faille technique du site, mais par la réutilisation d’un mot de passe déjà fuité sur un autre service. Les bases de données d’identifiants volés circulent librement et les attaquants testent automatiquement ces combinaisons sur les portails courants, dont les espaces clients EDF.
- Utiliser un mot de passe unique pour l’espace EDF ENR, différent de celui de la messagerie et de tout autre service en ligne. Un gestionnaire de mots de passe (Bitwarden, KeePass) simplifie cette discipline.
- Vérifier régulièrement si l’adresse e-mail associée au compte a été compromise dans une fuite de données, via un service comme Have I Been Pwned.
- Changer le mot de passe immédiatement après toute notification de fuite ou tout comportement suspect sur le compte (connexion depuis un appareil inconnu, modification de coordonnées non sollicitée).
Un mot de passe unique et une adresse e-mail sécurisée par MFA suffisent à bloquer la quasi-totalité des attaques automatisées visant les comptes clients énergie.
Démarchage et arnaque panneaux solaires : protéger aussi l’accès physique au dossier
Le phishing n’est pas le seul vecteur. Le démarchage téléphonique abusif lié aux installations photovoltaïques reste un problème récurrent. Certains démarcheurs demandent le numéro de contrat EDF ENR, le nom de l’installateur ou les données de production pour crédibiliser leur discours commercial.
Ces informations, combinées à une adresse e-mail, peuvent faciliter une tentative d’usurpation d’identité auprès du service client. Ne jamais communiquer son numéro de contrat ou ses identifiants par téléphone, même à un interlocuteur se présentant comme un technicien EDF.
Vérifier les accès partagés au compte
Sur certaines installations en autoconsommation, le compte EDF ENR peut avoir été configuré par l’installateur lors de la mise en service. Dans ce cas, vérifier que l’adresse e-mail principale est bien la vôtre et que l’installateur n’a pas conservé un accès administrateur au profil. Modifier le mot de passe après la fin du chantier est un réflexe trop souvent négligé.
La sécurisation d’un espace client EDF ENR repose sur trois gestes concrets : ne jamais suivre un lien reçu par e-mail pour se connecter, activer l’authentification multifacteur partout où c’est possible, et utiliser un mot de passe dédié à ce seul service. Ces trois mesures combinées neutralisent la grande majorité des scénarios d’attaque documentés sur les portails énergie ces dernières années.
