CenterPoint Energy heeft de Texaanse autoriteiten op de hoogte gebracht van een databres 1 miljoen Texanen. Daarbij zouden persoonlijke gegevens van 1.062.060 inwoners uit Texas zijn gecompromitteerd. Het incident trok eerder al de aandacht door een bericht van een aanvaller op een cybercrimeforum.
De energieleverancier laat weten dat de organisatie het probleem heeft ontdekt nadat de dreigingsactor zijn buit openbaar maakte. Daarbij geeft CenterPoint aan dat slechts een deel van de klanten is getroffen en dat de bedrijfsvoering niet is geraakt. Toch is de impact op de betrokkenen ingrijpend, omdat gevoelige gegevens zijn meegestolen.
Wat is er bekend over het databres
Volgens de informatie die CenterPoint via een melding heeft gedeeld, heeft de onderneming vastgesteld dat er sprake was van ongeautoriseerde toegang tot klantdata. In communicatie met de Texas Attorney General’s Office vermeldt het bedrijf dat 1.062.060 staatsresidenten in Texas zijn getroffen.
De melding komt op een moment dat het verhaal al in beweging was. Kort voordat CenterPoint de eerste aankondiging deed, zou een hacker op een bekend cybercrimeforum hebben geclaimd dat hij bijna 7,5 miljoen gebruikersrecords van het bedrijf had.
Welke gegevens zijn mogelijk gelekt
Het bedrijf stelt dat de gecompromitteerde informatie onder meer bestaat uit namen, adressen, Social Security-nummers en rijbewijsnummers. Juist dat soort gegevens maakt de gevolgen voor slachtoffers vaak langdurig: identiteitsfraude wordt er concreter door en het kost meer tijd om schade te beperken.
Daarnaast zou de omvang van de gestolen data niet beperkt blijven tot één type record. Het bericht van de aanvaller ging ook gepaard met het beschikbaar stellen van een downloadbaar archief, waarin volgens de claim nog meer contact- en persoonlijke informatie zat.
Wanneer kwam het naar buiten?
De gang van zaken rond de ontdekking en publicatie laat zien hoe snel cybersecurity-incidenten kunnen escaleren, zelfs vóórdat een organisatie intern compleetheid heeft bereikt.
CenterPoint rapporteerde eerder aan de SEC dat klantgegevens waren gestolen. In die periode vroeg de organisatie zich af hoe breed de impact precies was. Later kwam er een nieuw bericht: de melding aan Texas geeft een concreet aantal betrokkenen in Texas.
In dezelfde periode werd ook duidelijk dat de dreigingsactor al eerder publiek was met zijn claim. Het bedrijf stelt dat het de inbreuk heeft leren kennen via die openbare post.
Openbaar archief en omvang van de download
Op 12 september zou de hacker een 2,5 gigabyte groot archief beschikbaar hebben gesteld om te downloaden. In de claim zat een schatting van ongeveer 3 miljoen telefoonnummers, samen met aanvullende persoonsgegevens. Het is belangrijk om te benadrukken dat in het bericht dat is gedeeld, geen volledige technische verificatie van elk veld wordt uitgesplitst; het gaat om informatie die is gebaseerd op de verklaring van de aanvaller en de melding van het getroffen bedrijf.
SecurityWeek heeft CenterPoint daarnaast om verduidelijking gevraagd over het aantal getroffen personen. Dat betekent dat er mogelijk nog aanvullingen volgen wanneer het bedrijf reageert.
Raakt dit alleen Texas, of ook andere staten?
CenterPoint is niet alleen actief in Texas. De organisatie levert elektriciteit en aardgas aan klanten in Indiana, Minnesota en Ohio. Daardoor kan de impact buiten Texas net zo goed relevant zijn.
Op basis van de beschikbare melding is de totale omvang van het incident buiten Texas nog onduidelijk. Het bedrijf geeft niet in detail aan welk deel van de gestolen records betrekking heeft op inwoners van die andere staten.
Geen duidelijkheid over notificatie aan slachtoffers
Een opvallend punt in de berichtgeving is dat het lijkt alsof CenterPoint geen notificatiebrieven heeft verstuurd aan de personen die zijn getroffen. Dat is relevant, omdat tijdige communicatie slachtoffers helpt om sneller maatregelen te nemen tegen identiteitsfraude en phishing.
Ook hier geldt: de tekst waar dit nieuws op gebaseerd is, stelt dat de brieven niet lijken te zijn verzonden, maar noemt geen definitieve bevestiging. Zodra een organisatie officieel updates geeft, kan dat beeld veranderen.
Waarom dit type databres zo gevoelig is
Een databres waarbij Social Security-nummers en rijbewijsnummers in het geding zijn, is zelden “alleen maar informatie”. Dit soort gegevens kunnen direct of indirect worden ingezet voor:
- Identiteitsfraude (bijvoorbeeld het openen van rekeningen of het aanvragen van diensten onder andermans naam);
- Social engineering, omdat aanvallers met echte persoonsgegevens geloofwaardigheid opbouwen;
- Vergrote kans op gerichte phishing en data-gedreven fraude.
Voor organisaties betekent dit ook dat de impact niet stopt bij het incident zelf. De nasleep kan maandenlang doorwerken in meldingen, helpdesks, juridische trajecten en creditmonitoring.
Wat kun je doen als organisatie (en als klant)
Los van de specifieke technische oorzaak is er een praktische les uit dit soort meldingen: je moet zowel defensie als communicatie strak organiseren.
Voor organisaties
- Monitor dreiging en claims: openbare posts op forums kunnen aanwijzingen bevatten, maar ook misleiding. Zet daarom snelle verificatiestappen klaar.
- Beperk lateraal dataverkeer: als aanvallers gegevens kunnen exfiltreren, helpt segmentatie en harde toegangspaden om de blast radius kleiner te maken.
- Werk notificatieprocessen bij: slachtoffers hebben tijd nodig om zich te beschermen. Zorg dat juridische en operationele stappen niet te veel vertragen.
Voor klanten
- Wees alert op verdachte contacten die lijken te “weten” wie je bent.
- Controleer rekeningen en meldingen rond accounts en identiteitsdiensten.
- Leg documentatie vast: als je phishing of fraude ziet, verzamel datum, bron en inhoud.
Wie wil leren van eerdere incidenten in de keten, kan ook kijken naar andere casussen op dezelfde site. Bijvoorbeeld: Bron: https://www.securityweek.com/centerpoint-energy-data-breach-impacts-1-million-texans/
