CenterPoint: esposti dati di 1 milione di texani, nessun avviso ai clienti

Il 14 ottobre 2026 il Texas Attorney General ha pubblicato sul proprio database una segnalazione che certifica 1.062.060 residenti dello Stato coinvolti in un incidente di sicurezza informatica avvenuto presso CenterPoint Energy. La segnalazione, resa pubblica in assenza di comunicazioni dirette ai consumatori, indica che nomi, indirizzi, informazioni sui numeri di previdenza sociale e patenti di guida sono stati compromessi. Il caso ripropone il divario sistematico tra la cronologia tecnica di un attacco e i tempi della trasparenza regolatoria nel settore delle infrastrutture critiche.

Cosa dice il report del Texas Attorney General

Il database del Texas Attorney General, consultabile pubblicamente, registra la segnalazione con il numero preciso di 1.062.060 persone interessate. Secondo Click2Houston e l'Houston Chronicle, il report elenca quattro categorie di informazioni: nomi, indirizzi, dati relativi al Social Security Number e numeri di patente di guida. La nota allegata alla segnalazione specifica che i consumatori non erano stati ancora informati al momento della pubblicazione.

La legge del Texas impone alle società di notificare l'incidente all'Attorney General entro 30 giorni dalla determinazione della violazione e di avvisare i consumatori entro 60 giorni. Il report AG non specifica quando sia avvenuta la determinazione effettiva, rendendo impossibile stabilire se la finestra regolatoria sia stata rispettata. Il dossier include la clausola standard secondo cui il numero dei coinvolti "può essere aggiornato in seguito".

La cronologia: dall'8-K SEC al database statale

CenterPoint Energy ha reso pubblico l'incidente con un filing SEC 8-K datato 11 settembre 2026, come confermano BleepingComputer, SecurityWeek e The Record. Il documento, citato da BleepingComputer, afferma: "un soggetto terzo non autorizzato ha ottenuto informazioni personali relative a una parte dei clienti dell'azienda attraverso uno dei sistemi esposti esternamente dell'azienda". Il filing non ha fornito conteggi né dettaglio delle tipologie di dati.

Tra il filing SEC di settembre e il report AG di ottobre è trascorso un mese senza comunicazione diretta ai titolari dei dati. L'Houston Chronicle ha richiesto chiarimenti a CenterPoint sulla corrispondenza tra i due documenti; la società non ha esplicitamente confermato che il report AG si riferisca allo stesso incidente dell'8-K, sebbene le fonti trattino i due eventi come correlati.

"CenterPoint continua ad attivamente indagare sull'incidente di sicurezza informatica reso noto il mese scorso. Alla scoperta del problema, CenterPoint ha attivato le procedure di risposta agli incidenti e ha coinvolto consulenti esterni di cybersecurity, forense e legale per assistere l'indagine." — Portavoce CenterPoint Energy, via Click2Houston e Houston Chronicle

L'attore di minaccia e le rivendicazioni non verificate

A partire da agosto-settembre 2026, un attore di minaccia operante con l'alias "4d722e4d656f77" ha rivendicato su forum specializzati l'esfiltrazione di 7,49 milioni di record da CenterPoint, con una controparte filtrata di 6.734.894 record secondo quanto riportato da una fonte specializzata. BleepingComputer ha comunicato direttamente con l'attore, che ha dichiarato di aver iterato milioni di ID attraverso un'API pubblica di CenterPoint priva di rate limiting e di protezione WAF.

CenterPoint ha confermato di aver rilevato un post online di un terzo che rivendicava il possesso di dati clienti, ma non ha verificato né smentito i conteggi dell'attore né confermato la modalità tecnica. SecurityWeek segnala che lo stesso alias ha avanzato in passato affermazioni non verificate su CenterPoint, elemento che impone cautela sulla validità delle attuali rivendicazioni. Nessuna richiesta di riscatto è stata documentata; BleepingComputer riporta l'affermazione dell'attore secondo cui l'azienda avrebbe "ignorato i messaggi".

Il conteggio AG di 1.062.060 interessati in Texas rappresenta una frazione significativa dei 2,8 milioni di clienti elettrici e 1,9 milioni di clienti gas della società nel solo Stato, ma resta distante dai 7,49 milioni rivendicati dall'attore. La discrepanza potrebbe riflettere filtri geografici, deduplicazione, o limiti delle rivendicazioni non verificate.

Perché è importante

Il dossier presenta limiti rilevanti che condizionano la lettura complessiva. La fonte non specifica se il report AG e il filing SEC si riferiscano allo stesso identico incidente, né ha confermato il vettore tecnico dell'intrusione. Non emerge che i dati siano stati effettivamente utilizzati per frodi o furto d'identità al momento della pubblicazione. L'ambito geografico totale resta sconosciuto: il report AG copre solo il Texas, mentre CenterPoint opera in quattro Stati con una base clienti complessiva di circa 7 milioni secondo BleepingComputer.

Il ritardo tra filing regolatorio e notifica ai consumatori solleva interrogativi sulla praticabilità delle tempistiche di disclosure per le utilities. I clienti delle infrastrutture critiche non possono optare per la fornitura di un altro operatore: la condivisione dei dati personali è obbligata dal servizio pubblico, rendendo la violazione un fallimento di fiducia imposta. La combinazione di SSN e numeri di patente espone a rischi di frode all'identità sintetica, una tipologia di abuso che sfrutta proprio l'accoppiata di identificatori governativi e dati anagrafici.

Contemporaneamente all'incidente, il governo federale ha assegnato a CenterPoint un finanziamento di 50 milioni di dollari per la sicurezza della rete elettrica, come documentato dall'Houston Chronicle. La sovrapposizione temporale tra investimenti in sicurezza infrastrutturale e fallimento nella protezione dei dati dei consumatori alimenta la tensione tra allocazione delle risorse e accountability operativa.

Le conseguenze giudiziarie e regolatorie

L'Houston Chronicle e BleepingComputer confermano che azioni collettive sono state depositate in più giurisdizioni federali a seguito della violazione. Le cause sollevano la questione della due diligence nella protezione dei dati e dei tempi di notifica. La mancata specifica nel filing SEC del numero di clienti e delle tipologie di dati esposte potrebbe attirare l'attenzione della Securities and Exchange Commission su adeghezza e tempestività della disclosure agli investitori.

Il report AG del Texas non chiarisce se le notifiche ai consumatori siano state successivamente effettuate dopo la pubblicazione del 14 ottobre 2026. L'assenza di conferma in questo senso lascia aperta la questione dello stato attuale delle comunicazioni dirette ai titolari dei dati.

CenterPoint ha ripetutamente affermato che i sistemi di distribuzione elettrica e gas non sono stati compromessi e che il servizio resta operativo. La separazione tra IT e OT emerge come elemento confermato attraverso tutte le fonti, anche se il confine tra sistemi "esternamente esposti" e infrastrutture operative non è dettagliato nel dossier.

Domande che restano senza risposta

Fonti

• https://www.click2houston.com/news/local/2026/10/14/more-than-1-million-texans-affected-by-centerpoint-data-breach-ag-report-shows/
• https://www.houstonchronicle.com/news/houston-texas/article/centerpoint-data-breach-22476332.php
• https://www.yahoo.com/news/articles/centerpoint-energy-data-breach-affects-132217937.html
• https://tech-insider.org/centerpoint-energy-data-breach-7-49-million-records-2026/
• https://www.houstonchronicle.com/news/houston-texas/trending/article/drivewealth-data-breach-texas-22464805.php
• https://www.bleepingcomputer.com/news/security/centerpoint-energy-confirms-customer-data-stolen-in-cyberattack/
• https://www.securityweek.com/texas-utility-centerpoint-energy-confirms-breach-after-hacker-leaks-data/
• https://therecord.media/centerpoint-energy-data-breach
• https://www.click2houston.com/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti