CenterPoint Energy ha confirmado una brecha de datos después de que un hacker afirmara públicamente haber robado 7,49 millones de registros de clientes de la empresa de servicios públicos. La confirmación, realizada a través de divulgaciones regulatorias, se produjo tras una investigación que la empresa inició al descubrir la publicación en línea del actor de amenazas. Para millones de clientes en el territorio de servicio de la empresa de servicios públicos, el incidente plantea preguntas urgentes sobre qué información fue sustraída y qué hacer a continuación.

Qué ocurrió en la brecha de CenterPoint Energy

La brecha salió a la luz después de que un hacker publicara en línea una afirmación en la que declaraba haber obtenido 7,49 millones de registros vinculados a clientes de CenterPoint Energy. Esa publicación desencadenó una investigación interna que, según ha confirmado desde entonces CenterPoint Energy, reveló acceso no autorizado a información de clientes. La empresa divulgó el incidente en una presentación, un paso estándar para las empresas que cotizan en bolsa cuando un evento de ciberseguridad se considera lo suficientemente significativo como para reportarlo a los reguladores.

Hasta ahora, CenterPoint Energy ha reconocido que un tercero no autorizado accedió a la información personal de una parte de su base de clientes. La empresa no ha detallado exactamente cómo el atacante obtuvo acceso, y la investigación sobre el alcance y el método de la intrusión sigue en curso. Este patrón, la afirmación de un hacker que sale a la luz públicamente antes de que una empresa confirme la brecha, se ha vuelto cada vez más común, y a menudo significa que las organizaciones afectadas van a la zaga tanto en la investigación técnica como en la comunicación pública.

Qué datos de clientes quedaron expuestos y a quiénes afecta

CenterPoint Energy atiende a una gran base de clientes en sus operaciones de servicios públicos, y la escala de la brecha alegada, 7,49 millones de registros, sugiere que la exposición podría tocar a una parte sustancial de esa población. Las empresas de servicios públicos normalmente almacenan una combinación de datos sensibles vinculados a la facturación y la gestión de cuentas: nombres, direcciones, números de cuenta, detalles de pago y, a veces, números de Seguro Social o información de identificación gubernamental utilizada para la verificación del servicio.

Aunque CenterPoint Energy no ha publicado un desglose completo de exactamente qué campos de datos fueron comprometidos para cada cliente afectado, la empresa ha confirmado que se obtuvo información personal. Cualquier persona con una cuenta activa o reciente con CenterPoint Energy debería tomar esto como una señal para revisar las comunicaciones oficiales de la empresa directamente y monitorear sus cuentas de cerca, ya que los datos de facturación de servicios públicos a menudo incluyen suficientes detalles personales para permitir el robo de identidad o el phishing dirigido.

Qué significa esto para usted

Si usted es cliente de CenterPoint Energy, hay pasos concretos que vale la pena tomar ahora en lugar de esperar a que llegue una carta de notificación formal:

  • Esté atento a los avisos oficiales. Se espera que CenterPoint Energy notifique directamente a los clientes afectados. Tenga cuidado con correos electrónicos o mensajes de texto no solicitados que afirmen ser de la empresa, ya que los anuncios de brechas son frecuentemente explotados por estafadores que ejecutan campañas de phishing.
  • Monitoree sus cuentas financieras. Dado que las cuentas de servicios públicos suelen estar vinculadas a métodos de pago, revise los extractos bancarios y de tarjetas de crédito en busca de cargos desconocidos.
  • Considere un congelamiento de crédito o una alerta de fraude. Si los números de Seguro Social u otros datos de verificación de identidad formaron parte de los registros expuestos, colocar un congelamiento con las principales agencias de crédito puede impedir que se abran nuevas cuentas a su nombre.
  • Actualice las credenciales de su cuenta de CenterPoint Energy. Cambie su contraseña y habilite la autenticación multifactor si la opción está disponible.
  • Manténgase escéptico ante solicitudes urgentes. Los atacantes que obtienen datos personales a menudo los utilizan para hacer que los intentos de phishing resulten más convincentes, haciendo referencia a detalles reales de la cuenta para generar confianza antes de pedir un pago o información de inicio de sesión.

Por qué las empresas de servicios públicos se están convirtiendo en objetivos principales para los hackers

Los proveedores de servicios públicos como CenterPoint Energy poseen enormes almacenes de datos personales y financieros porque prácticamente cada hogar y negocio en su área de servicio es cliente. Esa concentración de información de facturación, historial de pagos y datos de identidad hace que las empresas de servicios públicos sean objetivos atractivos, especialmente porque los clientes rara vez tienen elección sobre qué proveedor presta servicio a su dirección, lo que significa que el grupo de datos está esencialmente garantizado y es difícil de evitar para los consumidores.

Esta no es una dinámica aislada. Las amenazas internas también han resultado costosas para las organizaciones que manejan grandes bases de datos de clientes u operativas, como se vio en casos como el plan de extorsión del contratista de Brightly Software, donde un excontratista abusó del acceso legítimo para obtener ganancias económicas. Del lado de las amenazas externas, los atacantes utilizan cada vez más tácticas de evasión sofisticadas una vez que obtienen un punto de apoyo, como el truco del Modo Seguro usado por afiliados del ransomware Akira para desactivar herramientas de seguridad antes de desplegar el ransomware. Ya sea que el punto de entrada sea un proveedor comprometido, un actor interno o una intrusión externa, el incentivo subyacente es el mismo: las grandes bases de datos de información personal son valiosas en los mercados criminales y pueden monetizarse mediante el robo de identidad, la reventa o la extorsión.

Tomar medidas después de la brecha de datos de CenterPoint Energy

La brecha de datos de CenterPoint Energy es un recordatorio de que las empresas que gestionan nuestros servicios más básicos, entre ellos la electricidad y el gas, también son custodias de datos personales sensibles, y esa responsabilidad conlleva un riesgo real cuando los controles de seguridad no están a la altura. Mientras la investigación continúa y es probable que surjan más detalles, los clientes afectados no deberían esperar para actuar. Revise la actividad de su cuenta de CenterPoint Energy, vigile sus estados financieros y manténgase alerta ante intentos de phishing que hagan referencia a este incidente. Mantenerse proactivo ahora es la mejor defensa mientras se aclara el alcance total de la brecha.