CenterPoint Energy conferma il furto di dati dei clienti dopo la pubblicazione di una presunta fuga di dati da parte di un hacker

CenterPoint Energy ha confermato che un soggetto non autorizzato ha ottenuto informazioni personali appartenenti ad alcuni clienti attraverso un sistema aziendale esposto su Internet.

La società di distribuzione di energia elettrica e gas naturale con sede a Houston ha reso noto l’incidente il 15 settembre 2026, dopo aver indagato su un post online che pubblicizzava dati presumibilmente sottratti all’azienda. CenterPoint non ha rivelato quanti clienti siano stati interessati, quali campi di dati siano stati compromessi né come l’aggressore abbia ottenuto l’accesso.

Un threat actor sostiene di aver estratto circa 7,49-7,5 milioni di record. La cifra non è stata verificata e potrebbe riferirsi a righe di database, account o voci duplicate, anziché a singole persone.

CenterPoint ha dichiarato che la violazione non ha interrotto la fornitura di energia elettrica o gas. La società non ritiene inoltre che l’incidente avrà un impatto significativo sulle proprie attività operative o sulla situazione finanziaria.

Cosa ha confermato CenterPoint

CenterPoint è venuta a conoscenza di un post pubblicato da un threat actor, nel quale si sosteneva che fossero stati sottratti dati aziendali, e ha successivamente avviato un’indagine. Secondo la comunicazione depositata presso la U.S. Securities and Exchange Commission, gli investigatori hanno stabilito che una terza parte non autorizzata aveva acquisito informazioni personali associate a una parte dei clienti.

L’ambiente compromesso è stato descritto soltanto come un sistema «esposto all’esterno». CenterPoint non ha identificato l’applicazione, l’API, l’assetto di hosting, la piattaforma software o la vulnerabilità coinvolti.

Restano senza risposta diverse domande fondamentali:

• Il numero di clienti interessati
• Le categorie di informazioni personali esposte
• La quantità di informazioni ottenute
• L’identità dell’aggressore
• Il metodo di accesso iniziale
• Se il sistema interessato fosse ospitato internamente o da una terza parte
• Se i record sottratti potessero essere utilizzati per accedere agli account dei clienti o modificarli

CenterPoint serve circa sette milioni di clienti dotati di contatore in Indiana, Minnesota, Ohio e Texas. La presunta fuga di dati contiene più record rispetto al numero di clienti, ma il confronto non dimostra che ogni cliente sia stato interessato. Una stessa persona o un singolo account potrebbero comparire in più record.

La conferma dell’azienda distingue l’incidente da una denuncia di estorsione del tutto priva di fondamento: alcune informazioni sui clienti sono state sottratte. La portata e la composizione del dataset rubato, tuttavia, sono ancora oggetto di indagine.

La presunta fuga di dati include informazioni sugli account e sull’identità

Secondo quanto riferito, l’aggressore, identificato dallo pseudonimo 4d722e4d656f77, avrebbe rivendicato il furto di 7,49 milioni di record dei clienti. Il contenuto dichiarato includerebbe nomi, numeri di telefono, indirizzi di fornitura, indirizzi di fatturazione, numeri di account, importi delle fatture e porzioni dei numeri di Social Security.

Un’altra descrizione del dataset fa riferimento a circa 7,5 milioni di record contenenti nomi, dettagli degli account, informazioni di fatturazione e le ultime quattro cifre dei numeri di Social Security. CenterPoint non ha confermato nessuno di questi campi specifici.

Le affermazioni sul materiale sottratto sono apparse su un forum di cybercrime il 12 settembre. Successivamente, secondo la ricostruzione di SecurityWeek della divulgazione, è stato reso disponibile per il download un archivio da 2,5 GB. Non è stato possibile verificarne indipendentemente l’autenticità.

La distinzione è importante. I post sui forum criminali spesso mescolano campioni autentici con informazioni duplicate, obsolete, riconfezionate o fabbricate. L’indagine di CenterPoint conferma l’acquisizione di dati, ma non convalida ancora l’archivio, il numero di record pubblicizzato o la descrizione completa fornita dall’aggressore.

Secondo quanto riferito, l’attore avrebbe inoltre minacciato che un’operazione successiva avrebbe preso di mira la «main infrastructure» di CenterPoint. Non ci sono prove che siano state compromesse tecnologie operative, sistemi di generazione elettrica o reti di distribuzione dei servizi. Le forniture di energia elettrica e gas naturale hanno continuato a funzionare.

Si sostiene che sia stato condotto un attacco di enumerazione dell’API, ma non è dimostrato

L’unica descrizione dettagliata del metodo di intrusione proviene dal presunto aggressore. Secondo quanto riportato da BleepingComputer sulla ricostruzione tecnica, l’attore avrebbe dichiarato di aver raccolto i dati testando automaticamente milioni di identificativi attraverso un’API di CenterPoint accessibile pubblicamente.

L’aggressore ha sostenuto che l’interfaccia fosse priva di un efficace rate limiting, di protezioni tramite web application firewall e di controlli in grado di rilevare o bloccare l’enumerazione automatizzata. CenterPoint non ha confermato questa ricostruzione.

Se fosse accurata, l’attività assomiglierebbe più a un’enumerazione di oggetti ad alto volume che alla tradizionale distribuzione di malware. Un client automatizzato potrebbe inviare un numero elevato di identificativi, registrare le risposte positive e assemblare gradualmente un dataset consistente.

Diverse condizioni possono rendere possibili attacchi di questo tipo. Gli identificativi potrebbero essere prevedibili, i controlli di autorizzazione potrebbero non verificare che il richiedente abbia il diritto di visualizzare un record oppure l’applicazione potrebbe consentire un numero anomalo di richieste senza intervenire. Le informazioni disponibili non stabiliscono quale, se presente, di queste vulnerabilità fosse effettivamente sfruttabile.

Non è stato inoltre divulgato alcun identificativo di vulnerabilità, versione del software interessata, patch, riprogettazione dell’API, modifica dell’autenticazione o configurazione del rate limiting. Clienti e difensori dovrebbero pertanto considerare la ricostruzione sull’API come threat intelligence non verificata, non come la causa principale accertata.

I clienti sono esposti a rischi di phishing, frode e impersonificazione

L’impatto immediato è una violazione della privacy, non un’interruzione dei servizi essenziali. La gravità finale dipenderà in larga misura dai campi che CenterPoint confermerà.

Nomi, indirizzi, numeri di telefono, dettagli degli account e informazioni di fatturazione potrebbero aiutare i criminali a creare messaggi credibili a tema utenze. Un truffatore potrebbe citare un indirizzo di fornitura o un importo recente della fattura per chiedere un pagamento, ottenere credenziali o minacciare la sospensione del servizio.

I numeri di Social Security parziali non equivalgono ai numeri completi, ma possono rendere più efficaci le truffe di verifica dell’identità se combinati con nomi, indirizzi e informazioni sugli account. Anche gli identificativi degli account esposti potrebbero creare ulteriori rischi se i sistemi di CenterPoint li utilizzassero nei flussi di assistenza clienti o recupero degli account.

I clienti potenzialmente interessati dovrebbero prestare attenzione a chiamate, email e SMS non richiesti che sostengono di riguardare bollette non pagate, rimborsi, problemi con il servizio o risarcimenti legati alla violazione. Le richieste dovrebbero essere verificate tramite un canale CenterPoint noto, anziché utilizzando i recapiti forniti nel messaggio.

I clienti possono inoltre controllare gli account relativi alle utenze e quelli finanziari per individuare modifiche o transazioni non spiegate. CenterPoint non ha annunciato uno specifico servizio di protezione dell’identità, un obbligo di reimpostazione delle credenziali o un programma di remediation rivolto ai clienti.

Secondo quanto riferito, presso tribunali federali sono state presentate diverse proposte di class action. Gli atti sostengono che la violazione si sia verificata tra il 17 agosto e il primo settembre, ma CenterPoint non ha confermato questo intervallo temporale.

L’indagine prosegue senza una correzione tecnica resa pubblica

CenterPoint ha attivato le proprie procedure di incident response e ha incaricato specialisti esterni di cybersecurity. L’indagine mira a identificare la popolazione interessata, determinare quali informazioni siano state ottenute e stabilire come sia avvenuta la compromissione.

La società ha inoltre dichiarato di aver rafforzato le protezioni dei sistemi, senza però descrivere le modifiche. Non sono state divulgate patch, implementazioni di firewall, controlli sull’API, rotazioni delle credenziali o regole di monitoraggio specifiche.

L’incidente è stato segnalato alle forze dell’ordine e alle autorità di regolamentazione. Secondo quanto riportato sulla comunicazione regolamentare dell’azienda, CenterPoint intende informare i clienti e le autorità competenti nei casi previsti dalla legge.

Finché non saranno inviate comunicazioni individuali, i clienti non possono stabilire, sulla sola base delle informazioni pubbliche, se i propri record siano stati inclusi. Qualsiasi comunicazione legittima dovrebbe chiarire quali campi di dati siano stati esposti, il periodo noto dell’incidente e le misure di protezione offerte.

Per CenterPoint e per le altre utility, le prove forensi utili includerebbero picchi di richieste API, query sequenziali di identificativi, volumi di risposta insolitamente elevati, accessi ripetuti da un numero limitato di infrastrutture e grandi trasferimenti in uscita. CenterPoint non ha pubblicato alcun indicatore di compromissione.

Le precedenti rivendicazioni sui dati di CenterPoint avevano un’origine diversa

In passato CenterPoint è comparsa in rivendicazioni relative alla vendita di dati e all’accesso tramite access broker. Nel 2024, un attore noto come AntiBrok3rs avrebbe messo in vendita accessi o informazioni collegati alla utility, mentre un altro attore aveva dichiarato separatamente di possedere dati di CenterPoint.

Gli analisti hanno associato quei dataset precedenti alla campagna MOVEit del 2023 del gruppo ransomware Cl0p. Si riteneva che le informazioni provenissero da una terza parte e non dai sistemi di CenterPoint.

Non è stato stabilito alcun collegamento tra quegli eventi e la compromissione confermata di recente. L’incidente attuale non è stato attribuito a Cl0p, AntiBrok3rs o ad alcun gruppo di minacce riconosciuto.

Per ora, la conclusione più chiara è circoscritta: gli aggressori hanno ottenuto informazioni personali dei clienti attraverso un sistema CenterPoint esposto all’esterno, mentre il numero delle vittime, gli esatti campi di dati e la causa tecnica restano sconosciuti.