CenterPoint Energy heeft bevestigd dat bij een cyberaanval persoonlijke gegevens van klanten zijn gestolen. Dit werd duidelijk nadat een aanvaller data lekte die naar verluidt afkomstig is van het nutsbedrijf. De aanval kwam aan het licht toen het bedrijf een online bericht ontdekte van een bedreiger die claimde 7,49 miljoen klantrecords te hebben buitgemaakt.

CenterPoint Energy is een nutsbedrijf uit Houston dat elektriciteit en aardgas levert en energiecentrales exploiteert. Het bedient ongeveer 7 miljoen klanten in Indiana, Minnesota, Ohio en Texas en heeft circa 8.300 medewerkers. De bedreiger, die opereert onder de naam “4d722e4d656f77”, gaf aan dat de gestolen data onder meer namen, telefoonnummers, service- en factuuradressen, rekeningnummers, factuurbedragen en gedeeltelijke sofinummers bevat. Volgens de aanvaller werd de data verkregen via een publieke API van CenterPoint die geen rate limiting, web application firewall (WAF) of andere beveiligingsmaatregelen tegen geautomatiseerde toegang had.

In een document bij de Amerikaanse Securities and Exchange Commission (SEC) bevestigt CenterPoint Energy dat een onbevoegde derde partij persoonlijke informatie van een deel van de klanten heeft bemachtigd via een extern systeem van het bedrijf. Het bedrijf werkt samen met externe experts om de omvang van het incident te bepalen en zal getroffen klanten en toezichthouders informeren zoals wettelijk vereist, zoals te lezen is in de SEC-melding.

De dienstverlening van CenterPoint op het gebied van elektriciteit en gas is niet beïnvloed door de aanval. Het bedrijf verwacht geen materiële impact op de bedrijfsvoering of financiële situatie. CenterPoint heeft haar incidentresponsprocedures geactiveerd, externe cybersecurityspecialisten ingeschakeld, de beveiliging van haar systemen versterkt en het incident gemeld bij de autoriteiten en toezichthouders.

Er zijn inmiddels meerdere rechtszaken ingediend bij federale rechtbanken waarin namens mogelijk getroffen klanten groepsclaims worden voorbereid. Deze rechtszaken verwijzen naar een datalek dat plaatsvond tussen 17 augustus en 1 september, zoals gemeld in het nieuws over de class actions.