Datalek CenterPoint Energy treft ruim 1 miljoen Texanen
CenterPoint Energy heeft bevestigd dat persoonsgegevens van meer dan 1 miljoen mensen in Texas zijn buitgemaakt bij een datalek. Onder de gelekte gegevens zitten namen, adressen, socialezekerheidsnummers en rijbewijsnummers.
Het nutsbedrijf uit Houston meldde het aantal deze week bij het kantoor van de procureur-generaal van Texas. Dat is de instantie in de staat die meldingen ontvangt wanneer persoonsgegevens van inwoners op straat komen te liggen. Volgens die melding gaat het om 1.062.060 Texanen.
De nieuwe cijfers kwamen ongeveer een maand nadat CenterPoint Energy de Amerikaanse beurswaakhond SEC (Securities and Exchange Commission) voor het eerst had laten weten dat er klantgegevens uit zijn systemen waren gestolen. Beursgenoteerde bedrijven in de VS moeten ingrijpende cyberincidenten bij de SEC melden.
Eerst kwam het bericht van een hacker
Het bedrijf ontdekte het lek niet via zijn eigen monitoring. In de melding bij de SEC schreef CenterPoint Energy dat het van het incident hoorde nadat een aanvaller er openlijk over had gepost.
Een paar dagen voor de eerste bekendmaking door het nutsbedrijf beweerde een hacker op een bekend cybercrimeforum bijna 7,5 miljoen gebruikersgegevens van CenterPoint Energy in handen te hebben. In de SEC-melding stelde het bedrijf dat slechts een deel van zijn klanten getroffen was en dat het incident geen gevolgen had voor de bedrijfsvoering.
Op 12 september zette de hacker een archief van 2,5 gigabyte online dat gegevens van het nutsbedrijf zou bevatten. Het bestand lijkt zo'n 3 miljoen telefoonnummers te bevatten, samen met andere persoonsgegevens.
Wat er is gelekt
De melding bij de procureur-generaal van Texas noemt de volgende soorten gegevens:
- namen
- adressen
- socialezekerheidsnummers
- rijbewijsnummers
De combinatie van socialezekerheidsnummers en rijbewijsnummers is goud waard voor oplichters. Daarmee kunnen ze op naam van een ander rekeningen openen, krediet aanvragen of identiteitscontroles omzeilen.
Het lijkt erop dat CenterPoint Energy de getroffen personen nog geen brief heeft gestuurd.
De volledige omvang is nog onduidelijk
Het Texaanse cijfer is mogelijk niet de eindstand. CenterPoint Energy levert ook stroom en aardgas aan klanten in Indiana, Minnesota en Ohio, en ook mensen in die staten kunnen getroffen zijn.
Het totale aantal slachtoffers is tot nu toe niet bekendgemaakt. Ook zit er een flink gat tussen de bewering van de hacker over bijna 7,5 miljoen records, de ongeveer 3 miljoen telefoonnummers in het gelekte archief en de ruim 1 miljoen Texanen die bij de autoriteiten van de staat zijn gemeld. SecurityWeek, dat als eerste over de Texaanse melding berichtte, zei het bedrijf om opheldering te hebben gevraagd over het totale aantal getroffen mensen.
CenterPoint Energy is niet het enige Amerikaanse nutsbedrijf dat onlangs een groot datalek meldde. Eerder deze maand leidde een lek bij Georgia Power en Alabama Power, allebei eigendom van Southern Company, ertoe dat gegevens van 400.000 klantaccounts op straat kwamen te liggen.
Onze kijk
Het meest ongemakkelijke detail is hoe CenterPoint Energy erachter kwam. Een nutsbedrijf met klanten in meerdere staten ontdekte via een bericht op een cybercrimeforum dat zijn gegevens waren gestolen, en niet via zijn eigen detectiemiddelen. Dat patroon wordt steeds bekender, en het wijst erop dat datadiefstal een tijd onopgemerkt kan blijven, zelfs bij organisaties die vitale diensten leveren.
Het incident laat ook zien dat een datalek de bedrijfsvoering niet hoeft te verstoren om ernstige schade aan te richten. Het licht bleef aan, maar ruim een miljoen mensen hebben hun socialezekerheids- en rijbewijsnummer nu in handen van criminelen zien vallen. In combinatie met de gelekte telefoonnummers kunnen die gegevens gerichte phishing en identiteitsfraude in de hand werken. Dit past in een bredere trend van grote datalekken in sectoren die gevoelige persoonsgegevens beheren, zoals de incidenten in de zorg bij iRhythm en Oracle Health.
Het is de moeite waard om in de gaten te houden of CenterPoint Energy vergelijkbare meldingen doet in Indiana, Minnesota en Ohio, en of het uiteindelijke totaal dichter bij de bewering van de hacker uitkomt. Ook het moment waarop de slachtoffers een brief krijgen, is belangrijk. Zolang die brieven niet binnen zijn, weten getroffen klanten misschien niet dat ze hun krediet moeten laten blokkeren of alert moeten zijn op verdachte berichten.