CenterPoint Energy confirma el robo de datos de clientes en un ciberataque

CenterPoint Energy ha revelado una brecha de seguridad que comprometió información personal de algunos de sus clientes, luego de que un atacante filtrara datos que supuestamente fueron robados de la compañía de servicios públicos. La investigación se inició después de que la empresa descubriera una publicación en línea de un actor de amenazas que afirmaba haber sustraído 7,49 millones de registros.

CenterPoint Energy es una empresa de servicios públicos con sede en Houston que proporciona electricidad y gas natural y opera instalaciones de generación de energía. Atiende a aproximadamente 7 millones de clientes con medidor en Indiana, Minnesota, Ohio y Texas, emplea a unas 8.300 personas y genera más de 9.300 millones de dólares en ingresos anuales.

A principios de este mes, un actor de amenazas que utiliza el alias "4d722e4d656f77" declaró a BleepingComputer que había robado de CenterPoint Energy 7,49 millones de registros de clientes que incluían nombres, números de teléfono, direcciones de servicio y facturación, números de cuenta, montos de facturación y números de Seguro Social (SSN) parciales. El atacante filtró los datos, alegando que la empresa ignoró sus mensajes y los trató como una broma.

Según el intruso, exfiltró los datos iterando a través de millones de identificadores en la API pública de CenterPoint, que carecía de limitación de velocidad, protección de firewall de aplicaciones web (WAF) y otras medidas de seguridad contra el acceso automatizado.

En una presentación ante la Comisión de Bolsa y Valores de EE. UU. (SEC), CenterPoint Energy confirma que se robaron datos, pero no nombra al actor de amenazas, ni la cantidad de clientes afectados, ni los tipos de datos comprometidos.

"Si bien la investigación continúa en curso, la Compañía ha determinado que un tercero no autorizado obtuvo información personal relacionada con una parte de los clientes de la Compañía a través de uno de los sistemas externos de la Compañía", dice la presentación ante la SEC. "La Compañía continúa trabajando con expertos externos para determinar el alcance de los clientes y la información personal afectada por el incidente y tiene la intención de notificar a los clientes afectados y a las autoridades regulatorias según lo exija la ley aplicable".

CenterPoint Energy afirmó que sus servicios eléctricos y de gas no se vieron afectados por el ciberataque y no cree que el incidente afecte materialmente su negocio o condición financiera. La empresa ha activado sus procedimientos de respuesta a incidentes, contratado expertos en ciberseguridad de terceros, reforzado las protecciones en sus sistemas y reportado el incidente a las autoridades policiales y regulatorias.

Múltiples demandas colectivas contra la empresa ya han sido presentadas en tribunales federales por firmas de abogados que representan a clientes potencialmente afectados, alegando que la brecha de datos ocurrió entre el 17 de agosto y el 1 de septiembre.

Construya su plano de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre qué cambian los ataques a velocidad de IA, qué deben dejar de hacer los defensores y cómo validar, decidir, corregir y revalidar a velocidad de máquina.