Der Angreifer mit dem Pseudonym “4d722e4d656f77” beschrieb gegenüber BleepingComputer einen denkbar simplen Weg: Er habe sich durch Millionen von IDs auf einer öffentlich zugänglichen API von CenterPoint Energy gearbeitet. Eine Ratenbegrenzung habe es ebenso wenig gegeben wie eine Web Application Firewall oder sonstige Vorkehrungen gegen automatisierte Massenabfragen.
Nach seiner Darstellung umfassen die 7,49 Millionen Kundendatensätze Namen, Telefonnummern, Liefer- und Rechnungsadressen, Kontonummern, Rechnungsbeträge sowie teilweise Sozialversicherungsnummern. Veröffentlicht habe er die Daten, weil das Unternehmen seine Nachrichten ignoriert und ihn nicht ernst genommen habe.
CenterPoint Energy bestätigte den Vorfall anschließend in einer Eingabe bei der US-Börsenaufsicht SEC, hielt sich mit Details aber zurück. “Die Untersuchung dauert an, das Unternehmen hat jedoch festgestellt, dass ein unbefugter Dritter über eines der nach außen gerichteten Systeme des Unternehmens persönliche Informationen zu einem Teil der Kunden erlangt hat”, heißt es in dem Dokument. Man arbeite weiter mit externen Fachleuten daran, den Umfang der betroffenen Kunden und Daten zu bestimmen, und beabsichtige, betroffene Kunden sowie Aufsichtsbehörden zu benachrichtigen, soweit gesetzlich vorgeschrieben.
Weder der Angreifer noch die Zahl der Betroffenen oder die Kategorien der abgeflossenen Daten werden in der SEC-Meldung genannt. Das Unternehmen betont, dass die Strom- und Gasversorgung durch den Angriff nicht beeinträchtigt worden sei, und geht nicht davon aus, dass der Vorfall wesentliche Auswirkungen auf Geschäftstätigkeit oder Finanzlage haben wird.
CenterPoint hat nach eigenen Angaben seine Verfahren zur Reaktion auf Sicherheitsvorfälle aktiviert, externe Sicherheitsfachleute hinzugezogen, die Schutzmaßnahmen der eigenen Systeme verstärkt und den Vorfall Strafverfolgungsbehörden sowie Regulierern gemeldet.
Parallel dazu sind bereits mehrere als Sammelklagen angelegte Verfahren gegen den Versorger bei US-Bundesgerichten anhängig. Die Kanzleien, die potenziell betroffene Kunden vertreten, gehen darin davon aus, dass der Datenabfluss zwischen dem 17. August und dem 1. September stattgefunden hat.
Das Unternehmen zählt zu den größeren Versorgern der USA: Neben Strom- und Gasnetzen betreibt CenterPoint Energy auch eigene Erzeugungsanlagen und beliefert rund sieben Millionen Kunden mit Zähleranschluss in vier Bundesstaaten.