Síntesis
La compañía eléctrica CenterPoint Energy (que distribuye electricidad y gas en Texas, Indiana, Minnesota y Ohio) confirmó recientemente ante las autoridades del estado de Texas el alcance de la brecha que reveló en septiembre. La filtración afecta a más de un millón de residentes de ese estado, que aún no habían sido notificados.
- La brecha expuso nombres, direcciones, números de Seguro Social y licencias de conducir de más de un millón de texanos.
- La empresa supo del incidente por la publicación de un hacker que aseguraba tener datos de sus clientes.
- El atacante afirma haber obtenido cerca de 7,5 millones de registros, una cifra que la compañía no ha confirmado.
- Clientes de los estados de Indiana, Minnesota y Ohio también podrían estar entre los afectados.
Noticia
CenterPoint Energy, empresa de servicios de electricidad y gas con sede en la ciudad de Houston, en el estado de Texas, informó a la Fiscalía General de ese estado que una brecha de datos afectó a 1.062.060 residentes del estado. La información comprometida incluye nombres, direcciones, números de Seguro Social y números de licencias de conducir.
El reporte fue publicado el lunes de la semana pasada en el sitio web de la Fiscalía. Según el documento, los afectados aún no habían sido notificados al momento de presentarlo, y tanto la cifra como el estado de las notificaciones podrían actualizarse.
La compañía reveló el incidente por primera vez el 14 de septiembre, en un reporte ante la Comisión de Bolsa y Valores de los Estados Unidos (SEC). Allí explicó que supo del problema por una publicación en línea de un tercero que afirmaba tener datos de sus clientes. También indicó que un tercero no autorizado obtuvo información personal de parte de sus clientes “a través de uno de los sistemas de la Compañía expuestos al exterior”.
Días antes de ese reporte, el 12 de septiembre, un atacante con el alias “4d722e4d656f77” aseguró en un foro de cibercrimen que había extraído unos 7,49 millones de registros de clientes. Ese mismo día puso a disposición un archivo de 2,5 GB que contendría cerca de 3 millones de números de teléfono, además de otros datos personales.
Según el atacante, los datos incluyen números de cuenta, montos de facturación, estado de pago y números parciales de Seguro Social. También afirmó que los obtuvo a través de una API (interfaz de programación de aplicaciones) sin autenticación ni límites de consultas. CenterPoint no ha confirmado esas afirmaciones.
En un comunicado enviado el miércoles y recogido por varios medios, un vocero de la empresa señaló que la investigación sigue en curso con asesores externos en ciberseguridad, análisis forense y temas legales. Además, de acuerdo con el medio Click2Houston, la empresa indicó que trabajan para “evaluar el alcance de los datos de clientes afectados” y así definir a quiénes deberán notificar.
La compañía aseguró que la brecha no alteró sus operaciones, señalando que “la entrega de servicios eléctricos y de gas de CenterPoint no se ha visto afectada”. En su reporte ante la SEC, añadió que no prevé un impacto material en sus finanzas y que su seguro de ciberseguridad cubriría los costos asociados.
El impacto total aún no está claro. CenterPoint también presta servicios en los estados de Indiana, Minnesota y Ohio, por lo que residentes de esos estados también podrían estar afectados.
La ley de Texas obliga a las organizaciones a informar a la Fiscalía las brechas que afecten a, al menos, 250 residentes, en un plazo máximo de 30 días desde su descubrimiento. Las personas afectadas deben ser notificadas a más tardar 60 días después de que la empresa determine que ocurrió la brecha.
