CenterPoint Energy hat am Montag gegenüber der US-Börsenaufsicht SEC eingeräumt, dass ein unbefugter Dritter an persönliche Daten von Kunden gelangt ist. Der Zugriff erfolgte demnach über eines der nach außen gerichteten Systeme des Unternehmens. Die Untersuchung des Vorfalls dauert an.
CenterPoint Energy ist ein öffentlicher Versorger mit Sitz in Houston, der rund 7 Millionen Kunden in Indiana, Minnesota, Ohio und Texas mit Elektrizität und Erdgas beliefert. Nach Angaben des Unternehmens hat der Sicherheitsvorfall die Strom- und Gaslieferungen nicht beeinträchtigt; man rechne auch nicht mit wesentlichen Auswirkungen des Datenabflusses.
Die Bestätigung folgte auf einen Beitrag in einem bekannten Cybercrime-Forum vom 12. September. Dort veröffentlichte ein Angreifer Daten, die angeblich aus den Systemen des Versorgers stammen, und sprach von knapp 7,5 Millionen erbeuteten Nutzerdatensätzen. Verbunden war die Veröffentlichung mit einer Drohung: Beim nächsten Mal werde man nicht einfach nur Daten abziehen, sondern die Hauptinfrastruktur angreifen.
Zum Herunterladen stellte der Täter ein Archiv von 2,5 GB Größe bereit, das die entwendeten Daten enthalten soll. SecurityWeek kann nach eigenen Angaben nicht überprüfen, ob die Daten echt sind — falsche oder übertriebene Behauptungen über den Umfang von Beutedaten sind in solchen Foren keine Seltenheit.
Es ist nicht das erste Mal, dass Angreifer Daten von CenterPoint Energy anbieten. 2024 war das Unternehmen eines von mehreren Energieunternehmen, die ins Visier eines Zugangsbrokers mit dem Namen AntiBrok3rs gerieten. Wenige Monate später behauptete ein anderer Angreifer, ebenfalls Daten des Konzerns erlangt zu haben.
In beiden Fällen gingen Beobachter davon aus, dass die Daten aus der MOVEit-Kampagne der Ransomware-Gruppe Cl0p aus dem Jahr 2023 stammten. Analysten nahmen seinerzeit an, dass die CenterPoint-Daten nicht direkt aus den Systemen des Versorgers, sondern von einem Drittanbieter stammten. Der aktuelle Fall unterscheidet sich davon insofern, als das Unternehmen selbst ein eigenes, nach außen exponiertes System als Einfallstor benennt.