CenterPoint Energy confirme le vol de données clients après la publication par un pirate informatique d’une fuite présumée

CenterPoint Energy a confirmé qu’un tiers non autorisé avait obtenu des informations personnelles appartenant à certains de ses clients par l’intermédiaire d’un système de l’entreprise accessible depuis Internet.

Le fournisseur d’électricité et de gaz naturel basé à Houston a révélé l’incident le 15 septembre 2026, après avoir enquêté sur une publication en ligne proposant des données prétendument volées à l’entreprise. CenterPoint n’a pas précisé combien de clients étaient concernés, quels champs de données avaient été compromis ni comment l’attaquant avait obtenu l’accès.

Un acteur malveillant affirme avoir extrait entre 7,49 et 7,5 millions d’enregistrements. Ce chiffre n’a pas été vérifié et peut correspondre à des lignes de base de données, à des comptes ou à des entrées dupliquées plutôt qu’à des personnes distinctes.

CenterPoint a indiqué que la compromission n’avait pas interrompu la distribution d’électricité ou de gaz. L’entreprise ne s’attend pas non plus à ce que l’incident ait une incidence importante sur ses activités ou sa situation financière.

Ce que CenterPoint a confirmé

CenterPoint a pris connaissance d’une publication d’un acteur malveillant affirmant que des données de l’entreprise avaient été volées, puis a ouvert une enquête. Selon le document déposé auprès de la U.S. Securities and Exchange Commission, les enquêteurs ont établi qu’un tiers non autorisé avait obtenu des informations personnelles associées à une partie de ses clients.

L’environnement compromis a seulement été décrit comme un système « accessible depuis l’extérieur ». CenterPoint n’a pas identifié l’application, l’API, l’infrastructure d’hébergement, la plateforme logicielle ou la vulnérabilité concernés.

Plusieurs questions essentielles restent sans réponse :

• Le nombre de clients concernés
• Les catégories d’informations personnelles exposées
• Le volume d’informations obtenu
• L’identité de l’attaquant
• La méthode d’accès initiale
• Le fait que le système concerné ait été hébergé en interne ou par un tiers
• La possibilité que les enregistrements volés soient utilisés pour accéder aux comptes clients ou les modifier

CenterPoint dessert environ sept millions de clients équipés d’un compteur dans l’Indiana, le Minnesota, l’Ohio et le Texas. La fuite présumée contient davantage d’enregistrements que ce nombre de clients, mais cette comparaison ne permet pas d’établir que tous les clients ont été concernés. Une même personne ou un même compte peut apparaître dans plusieurs enregistrements.

La confirmation de l’entreprise distingue l’incident d’une accusation d’extorsion totalement infondée : certaines informations clients ont bien été dérobées. L’ampleur et la composition des données volées font toutefois encore l’objet d’une enquête.

La fuite présumée contient des données de compte et d’identité

L’attaquant, identifié sous l’alias 4d722e4d656f77, aurait revendiqué le vol de 7,49 millions d’enregistrements clients. Les données prétendument concernées comprennent des noms, des numéros de téléphone, des adresses de service, des adresses de facturation, des numéros de compte, des montants facturés et une partie des numéros de Social Security.

Une autre description du jeu de données fait état d’environ 7,5 millions d’enregistrements contenant des noms, des informations de compte, des données de facturation et les quatre derniers chiffres des numéros de Social Security. CenterPoint n’a confirmé aucun de ces champs précis.

Des affirmations concernant les données divulguées sont apparues sur un forum de cybercriminalité le 12 septembre. Une archive de 2,5 Go a ensuite été mise à disposition au téléchargement, selon le compte rendu de SecurityWeek consacré à cette divulgation. Son authenticité n’a pas pu être vérifiée de manière indépendante.

Cette distinction est importante. Les publications sur les forums criminels mélangent souvent des échantillons authentiques avec des informations dupliquées, obsolètes, reconditionnées ou fabriquées. L’enquête de CenterPoint confirme l’acquisition de données, mais ne permet pas encore de valider l’archive, le nombre d’enregistrements annoncé ou la description complète fournie par l’attaquant.

L’acteur aurait également menacé de cibler ultérieurement la « principale infrastructure » de CenterPoint. Rien ne montre que les technologies opérationnelles, les systèmes de production d’électricité ou les réseaux de distribution des services publics aient été compromis. La fourniture d’électricité et de gaz naturel s’est poursuivie normalement.

Une attaque par énumération d’API est évoquée, mais pas établie

Le seul récit détaillé de la méthode d’intrusion provient de l’attaquant présumé. Selon le compte rendu de BleepingComputer sur cette affirmation technique, l’acteur aurait expliqué avoir collecté les données en testant automatiquement des millions d’identifiants contre une API CenterPoint accessible publiquement.

L’attaquant affirme que l’interface ne disposait pas d’une limitation efficace du débit, d’une protection par pare-feu applicatif ni de contrôles capables de détecter ou de bloquer l’énumération automatisée. CenterPoint n’a pas confirmé cette explication.

Si elle était exacte, l’opération s’apparenterait à une énumération d’objets à grande échelle plutôt qu’au déploiement classique d’un malware. Un client automatisé pourrait envoyer un grand nombre d’identifiants, enregistrer les réponses positives et constituer progressivement un vaste jeu de données.

Plusieurs conditions peuvent rendre ce type d’attaque possible. Les identifiants peuvent être prévisibles, les contrôles d’autorisation peuvent ne pas vérifier qu’un demandeur est habilité à consulter un enregistrement, ou l’application peut autoriser un nombre anormal de requêtes sans intervenir. Les informations disponibles ne permettent pas d’établir laquelle de ces faiblesses, le cas échéant, était présente.

Aucun identifiant de vulnérabilité, aucune version logicielle concernée, aucun correctif, aucune refonte de l’API, aucune modification de l’authentification ni aucune configuration de limitation du débit n’ont été communiqués. Les clients et les défenseurs doivent donc considérer le récit concernant l’API comme un renseignement non vérifié sur la menace, et non comme la cause première établie.

Les clients exposés à des risques d’hameçonnage, de fraude et d’usurpation d’identité

L’impact immédiat est une violation de données personnelles plutôt qu’une interruption de services essentiels. Sa gravité finale dépendra largement des champs que CenterPoint confirmera.

Les noms, adresses, numéros de téléphone, informations de compte et données de facturation pourraient aider des criminels à créer des messages convaincants liés aux services publics. Un escroc pourrait mentionner une adresse de service ou un montant récemment facturé pour exiger un paiement, demander des identifiants ou menacer de couper le service.

Les numéros de Social Security partiels ne permettent pas les mêmes usages que les numéros complets, mais ils peuvent renforcer les escroqueries fondées sur la vérification d’identité lorsqu’ils sont associés à des noms, des adresses et des informations de compte. Les identifiants de compte exposés pourraient également accroître les risques si les systèmes de CenterPoint les utilisent dans les procédures de service client ou de récupération de compte.

Les clients potentiellement concernés doivent se montrer prudents face aux appels, e-mails et SMS non sollicités prétendant concerner des factures impayées, des remboursements, des problèmes de service ou une indemnisation liée à la violation de données. Toute demande doit être vérifiée via un canal CenterPoint connu, et non à l’aide des coordonnées fournies dans le message.

Les clients peuvent également examiner leurs comptes auprès de leur fournisseur d’énergie et leurs comptes financiers afin de repérer toute modification ou transaction inexpliquée. CenterPoint n’a annoncé aucun service spécifique de protection contre l’usurpation d’identité, aucune réinitialisation obligatoire des identifiants ni aucun programme de remédiation destiné aux clients.

Plusieurs actions de groupe auraient été déposées devant des tribunaux fédéraux. Les plaintes affirment que la violation de données s’est produite entre le 17 août et le 1er septembre, mais CenterPoint n’a pas confirmé cette période.

L’enquête se poursuit sans correctif technique rendu public

CenterPoint a activé ses procédures de réponse aux incidents et fait appel à des spécialistes externes de la cybersécurité. L’enquête doit déterminer la population concernée, identifier les informations obtenues et établir comment la compromission s’est produite.

Le fournisseur a également indiqué avoir renforcé les protections de ses systèmes, sans préciser les changements apportés. Aucun correctif, déploiement de pare-feu, contrôle d’API, renouvellement d’identifiants ou règle de surveillance spécifique n’a été communiqué.

L’incident a été signalé aux autorités chargées de l’application de la loi et aux autorités de régulation. Selon les informations consacrées à la déclaration réglementaire de l’entreprise, CenterPoint prévoit d’informer les clients et les autorités compétentes lorsque la loi l’exige.

Tant que les notifications individuelles n’auront pas été envoyées, les clients ne pourront pas déterminer, sur la seule base des informations publiques, si leurs données faisaient partie des informations concernées. Toute notification légitime devrait préciser les champs de données exposés, la période connue de l’incident et les mesures de protection proposées.

Pour CenterPoint et les autres fournisseurs de services publics, les éléments d’analyse forensique utiles comprendraient des pics de requêtes API, des recherches d’identifiants séquentives, des volumes de réponses exceptionnellement élevés, des accès répétés depuis un nombre limité d’infrastructures et d’importants transferts sortants. CenterPoint n’a publié aucun indicateur de compromission.

Les précédentes affirmations concernant les données de CenterPoint avaient une autre origine

CenterPoint avait déjà été citée dans des offres de vente de données et des allégations d’accès par des courtiers en accès. En 2024, un acteur connu sous le nom d’AntiBrok3rs aurait proposé un accès à des données liées au fournisseur, tandis qu’un autre acteur avait séparément affirmé détenir des données de CenterPoint.

Des analystes ont associé ces précédents jeux de données à la campagne MOVEit menée par le groupe de ransomware Cl0p en 2023. Les informations auraient semblé provenir d’un tiers plutôt que des propres systèmes de CenterPoint.

Aucun lien n’a été établi entre ces événements et la compromission récemment confirmée. L’incident actuel n’a été attribué ni à Cl0p, ni à AntiBrok3rs, ni à un groupe malveillant connu.

Pour l’instant, la conclusion la plus solide reste limitée : des attaquants ont obtenu des informations personnelles de clients par l’intermédiaire d’un système CenterPoint accessible depuis l’extérieur, mais le nombre de victimes, les champs de données précis et la cause technique restent inconnus.