Fuite chez CenterPoint Energy : plus d'un million de Texans
CenterPoint Energy a confirmé qu'une fuite de données a compromis les informations personnelles de plus d'un million de personnes au Texas. Parmi les données exposées figurent des noms, des adresses, des numéros de sécurité sociale et des numéros de permis de conduire.
Cette semaine, l'entreprise de services publics basée à Houston a communiqué ce chiffre au bureau du procureur général du Texas, l'autorité de l'État qui reçoit les notifications de fuites lorsque les données personnelles de résidents sont exposées. Selon cette déclaration, 1 062 060 Texans sont concernés.
Ces nouveaux chiffres arrivent environ un mois après que CenterPoint Energy a informé pour la première fois la Securities and Exchange Commission (SEC), le gendarme boursier américain, que des informations clients avaient été dérobées dans ses systèmes. Aux États-Unis, les sociétés cotées sont tenues de signaler à la SEC les incidents de cybersécurité significatifs.
Un message de pirate en premier
L'entreprise n'a pas détecté la fuite grâce à sa propre surveillance. Dans sa déclaration à la SEC, CenterPoint Energy indique avoir appris l'existence de l'incident après qu'un acteur malveillant en a parlé publiquement.
Quelques jours avant la première annonce de l'entreprise, un pirate affirmait sur un forum cybercriminel connu avoir obtenu près de 7,5 millions d'enregistrements d'utilisateurs de CenterPoint Energy. Dans sa déclaration à la SEC, l'entreprise a précisé que seule une partie de sa clientèle était touchée et que l'incident n'avait eu aucune incidence sur ses activités.
Le 12 septembre, le pirate a mis en téléchargement une archive de 2,5 gigaoctets censée contenir des données dérobées à l'entreprise. Le fichier semble renfermer environ 3 millions de numéros de téléphone, ainsi que d'autres informations personnelles.
Ce qui a été exposé
La déclaration auprès du procureur général du Texas mentionne les types de données suivants :
- noms
- adresses
- numéros de sécurité sociale
- numéros de permis de conduire
Réunis, les numéros de sécurité sociale et de permis de conduire valent de l'or pour les fraudeurs. Ils permettent d'ouvrir des comptes, de demander un crédit ou de contourner des vérifications d'identité au nom d'une autre personne.
Il semble que CenterPoint Energy n'ait pas encore envoyé de lettres de notification aux personnes concernées.
L'ampleur réelle reste floue
Le chiffre texan n'est peut-être pas définitif. CenterPoint Energy fournit aussi de l'électricité et du gaz naturel à des clients dans l'Indiana, le Minnesota et l'Ohio, et des habitants de ces États pourraient également être touchés.
Pour l'instant, le nombre total de victimes n'a pas été rendu public. L'écart est par ailleurs important entre les près de 7,5 millions d'enregistrements revendiqués par le pirate, les quelque 3 millions de numéros de téléphone contenus dans l'archive divulguée et le peu plus d'un million de Texans déclarés aux autorités de l'État. SecurityWeek, qui a été le premier à faire état de la déclaration texane, a indiqué avoir demandé à l'entreprise des précisions sur le nombre total de personnes concernées.
CenterPoint Energy n'est pas la seule entreprise américaine de services publics à avoir signalé récemment une fuite d'ampleur. Plus tôt ce mois-ci, une fuite chez Georgia Power et Alabama Power, deux filiales de Southern Company, a exposé 400 000 comptes clients.
Notre analyse
Le détail le plus gênant, c'est la manière dont CenterPoint Energy l'a appris. Une entreprise de services publics desservant des clients dans plusieurs États a découvert le vol de ses données grâce à un message sur un forum cybercriminel, et non grâce à ses propres outils de détection. Ce scénario devient familier, et il laisse penser qu'un vol de données peut passer inaperçu pendant un certain temps, même dans des organisations qui gèrent des services essentiels.
L'incident montre aussi qu'une fuite n'a pas besoin de perturber les activités pour causer de graves dégâts. La lumière ne s'est pas éteinte, mais plus d'un million de personnes ont désormais leurs numéros de sécurité sociale et de permis de conduire entre les mains de criminels. Combinées aux numéros de téléphone divulgués, ces données pourraient alimenter du phishing ciblé et de l'usurpation d'identité. Cela s'inscrit dans une tendance plus large de fuites massives frappant des secteurs qui détiennent des données personnelles sensibles, comme les incidents dans la santé chez iRhythm et Oracle Health.
Il faudra surveiller si CenterPoint Energy dépose des déclarations similaires dans l'Indiana, le Minnesota et l'Ohio, et si le total final se rapproche des affirmations du pirate. Le calendrier d'envoi des lettres de notification aux victimes compte aussi. Tant que ces lettres ne sont pas arrivées, les clients concernés ne savent pas forcément qu'ils devraient geler leur crédit ou se méfier des messages suspects.