Brecha en CenterPoint Energy: más de 1 millón de tejanos
CenterPoint Energy ha confirmado que una brecha de datos ha comprometido la información personal de más de 1 millón de personas en Texas. Entre los datos expuestos figuran nombres, direcciones, números de la Seguridad Social y números del carné de conducir.
La compañía de servicios públicos, con sede en Houston, comunicó la cifra esta semana a la Fiscalía General de Texas, la autoridad estatal que recibe las notificaciones de brechas cuando quedan expuestos datos personales de sus residentes. Según esa notificación, los afectados son 1.062.060 tejanos.
Las nuevas cifras llegan aproximadamente un mes después de que CenterPoint Energy informara por primera vez a la Comisión de Bolsa y Valores de EE. UU. (SEC) de que le habían robado información de clientes de sus sistemas. En EE. UU., las empresas cotizadas están obligadas a comunicar a la SEC los incidentes de ciberseguridad relevantes.
Primero llegó la publicación de un hacker
La empresa no detectó la brecha con su propia monitorización. En su comunicación a la SEC, CenterPoint Energy explicó que se enteró del incidente después de que un actor malicioso lo publicara abiertamente.
Unos días antes de la primera comunicación de la compañía, un hacker aseguró en un conocido foro de ciberdelincuencia haber obtenido casi 7,5 millones de registros de usuarios de CenterPoint Energy. En su comunicación a la SEC, la empresa afirmó que solo se había visto afectada una parte de su base de clientes y que el incidente no había tenido ningún impacto en sus operaciones.
El 12 de septiembre, el hacker publicó para su descarga un archivo de 2,5 gigabytes que supuestamente contiene datos sustraídos a la compañía. El archivo parece incluir unos 3 millones de números de teléfono, además de otros datos personales.
Qué datos quedaron expuestos
La notificación presentada ante la Fiscalía General de Texas recoge los siguientes tipos de datos:
- nombres
- direcciones
- números de la Seguridad Social
- números del carné de conducir
Juntos, los números de la Seguridad Social y los del carné de conducir son muy valiosos para los estafadores. Pueden utilizarse para abrir cuentas, solicitar créditos o superar controles de identidad en nombre de otra persona.
Todo indica que CenterPoint Energy todavía no ha enviado cartas de notificación a los afectados.
El alcance real sigue sin estar claro
Puede que la cifra de Texas no sea la definitiva. CenterPoint Energy también suministra electricidad y gas natural a clientes de Indiana, Minnesota y Ohio, y es posible que también haya afectados en esos estados.
Por ahora no se ha hecho público el número total de víctimas. Además, hay una gran diferencia entre los casi 7,5 millones de registros que dice tener el hacker, los cerca de 3 millones de números de teléfono del archivo filtrado y los algo más de 1 millón de tejanos comunicados a las autoridades estatales. SecurityWeek, que fue el primer medio en informar sobre la notificación en Texas, señaló que había pedido a la empresa aclaraciones sobre el número total de personas afectadas.
CenterPoint Energy no es la única compañía de servicios públicos de EE. UU. que ha comunicado recientemente una brecha de gran tamaño. A principios de este mes, una brecha en Georgia Power y Alabama Power, ambas propiedad de Southern Company, expuso 400.000 cuentas de suministro.
Nuestro análisis
El detalle más incómodo es cómo se enteró CenterPoint Energy. Una compañía que da servicio a clientes en varios estados supo que le habían robado datos por una publicación en un foro de ciberdelincuencia, no por sus propias herramientas de detección. Es un patrón cada vez más habitual, y sugiere que el robo de datos puede pasar desapercibido durante un tiempo, incluso en organizaciones que gestionan servicios críticos.
El incidente también demuestra que una brecha no tiene que interrumpir las operaciones para causar un daño grave. La luz no se fue, pero más de un millón de personas tienen ahora sus números de la Seguridad Social y de carné de conducir en manos de delincuentes. Combinados con los números de teléfono filtrados, esos datos podrían alimentar campañas de phishing dirigido y fraudes de identidad. Encaja en una tendencia más amplia de grandes brechas en sectores que manejan datos personales sensibles, como los incidentes sanitarios de iRhythm y Oracle Health.
Conviene estar atentos a si CenterPoint Energy presenta notificaciones similares en Indiana, Minnesota y Ohio, y a si el total definitivo se acerca a lo que afirma el hacker. También importa cuándo lleguen las cartas de notificación a las víctimas. Hasta que las reciban, puede que los clientes afectados no sepan que deberían congelar su crédito o desconfiar de mensajes sospechosos.