CenterPoint Energy : brèche expose 1 million de Texans

Un fournisseur d'énergie critique pris dans une brèche massive de données personnelles

CenterPoint Energy, l'une des principales compagnies de distribution d'électricité et de gaz naturel des États-Unis, se retrouve au cœur d'un incident de sécurité de grande ampleur. L'entreprise, qui dessert des millions de foyers et d'entreprises au Texas, en Indiana, au Minnesota et en Ohio, a officiellement reconnu qu'un accès non autorisé à un système externe a permis l'exposition de données personnelles sensibles appartenant à plus d'un million de Texans.

Les informations compromises comprennent des données parmi les plus sensibles qui soient dans le contexte de l'usurpation d'identité : noms complets, adresses postales, numéros de sécurité sociale (SSN) et numéros de permis de conduire. La combinaison de ces quatre éléments constitue ce que les praticiens de la lutte contre la fraude désignent comme un profil d'identité complet, suffisant pour ouvrir des lignes de crédit, déposer des demandes de remboursement d'assurance frauduleuses, ou accéder à des services gouvernementaux au nom des victimes.

La chronologie de l'incident révèle plusieurs anomalies préoccupantes. Bien avant la divulgation officielle de CenterPoint Energy, un acteur malveillant avait déjà communiqué publiquement sur la compromission. Début septembre 2026, un individu se présentant comme l'auteur de l'attaque a posté sur un forum cybercriminel connu pour la revente de données volées, affirmant détenir 7,49 millions d'enregistrements issus des systèmes de CenterPoint Energy. Cette revendication, qui portait sur un volume sept fois supérieur au chiffre officiellement reconnu, a précédé de quelques jours la première communication officielle de l'entreprise.

Le 14 septembre 2026, CenterPoint Energy a déposé une notification auprès de la Securities and Exchange Commission (SEC) américaine, conformément aux nouvelles règles de divulgation des incidents cybernétiques entrées en vigueur en 2024. Ce premier document restait cependant remarquablement vague : aucun chiffre sur le nombre de personnes affectées, aucun détail sur la nature des données compromises. La dimension réelle de l'incident n'a été révélée que plusieurs semaines plus tard, lorsque le rapport déposé auprès du bureau du procureur général du Texas a chiffré le nombre de victimes texanes à 1 062 060 personnes.

La disparité entre les 7,49 millions de records revendiqués par le hacker et le million confirmé par l'entreprise pour le seul Texas pose des questions légitimes. CenterPoint Energy opère dans plusieurs États américains, et les résidents d'Indiana, du Minnesota et d'Ohio pourraient également être affectés. Si le volume revendiqué sur le forum cybercriminel correspond à l'ensemble du portefeuille client de l'entreprise dans ses différentes zones géographiques, le chiffre texan ne représenterait qu'une fraction du total réel des victimes. À ce stade, CenterPoint Energy n'a pas communiqué de bilan global pour l'ensemble de ses zones d'opération.

L'aspect le plus critique de cet incident tient au traitement des victimes. Malgré la divulgation à la SEC en septembre et la confirmation du volume auprès du procureur général du Texas mi-octobre, aucune notification individuelle n'avait encore été envoyée aux personnes affectées à la date de rédaction de cet article. Cette absence de communication directe est particulièrement problématique : les personnes dont le numéro de sécurité sociale a été exposé ne peuvent pas prendre les mesures de protection appropriées (gel de crédit, surveillance renforcée) si elles ignorent leur statut de victime.

Le secteur de l'énergie est considéré comme infrastructure critique par le gouvernement fédéral américain, ce qui place les opérateurs comme CenterPoint Energy sous une surveillance réglementaire particulièrement stricte. Les incidents de sécurité touchant ces entités font l'objet d'un suivi attentif de la CISA (Cybersecurity and Infrastructure Security Agency), qui a ces dernières années multiplié les directives et recommandations à destination du secteur énergétique face à la menace croissante d'acteurs étatiques et cybercriminels ciblant les infrastructures critiques.

D'après les informations disponibles, le vecteur initial de l'intrusion reste un accès non autorisé à un système externe, formulation volontairement générique qui peut désigner aussi bien une compromission de compte via phishing ou credential stuffing qu'une exploitation de vulnérabilité dans un système tiers connecté aux données de l'entreprise. L'enquête forensique est toujours en cours, et CenterPoint Energy n'a pas divulgué les détails techniques de l'attaque.

Secteur énergie, données sensibles et délais de notification : un triptyque à risque

L'incident CenterPoint Energy s'inscrit dans une série de brèches majeures frappant le secteur de l'énergie américain ces deux dernières années. La combinaison de systèmes opérationnels souvent anciens, d'interconnexions multiples avec des partenaires et sous-traitants, et de la détention de données personnelles de millions de clients résidentiels fait des opérateurs énergétiques des cibles particulièrement attractives pour les groupes cybercriminels spécialisés dans le vol et la revente de données.

La nature des données exposées mérite une analyse spécifique dans le contexte américain. Le numéro de sécurité sociale est l'identifiant unique le plus utilisé dans les États-Unis pour les services financiers, médicaux, et administratifs. Contrairement à un mot de passe ou une carte bancaire, il ne peut pas être changé, ou seulement dans des circonstances exceptionnelles. Une fois exposé, il confère aux détenteurs un levier d'usurpation d'identité persistent sur des années, voire des décennies. La combinaison avec une adresse physique et un numéro de permis de conduire, qui sert de pièce d'identité aux États-Unis pour de nombreuses démarches, complète un profil exploitable pour des fraudes à haute valeur.

La question des délais de notification est au cœur des critiques adressées à CenterPoint Energy. La loi texane sur la notification des brèches de données impose aux entités de notifier les résidents affectés dans les 60 jours suivant la découverte d'une brèche. Si l'incident a été découvert avant le dépôt à la SEC du 14 septembre, l'horloge tourne, et l'absence de notification directe aux victimes à la mi-octobre place potentiellement l'entreprise en infraction. Le procureur général du Texas a les moyens légaux d'imposer des amendes significatives et des mesures correctives.

À l'échelle européenne, cet incident résonne comme un rappel de ce que le RGPD a voulu prévenir. Les obligations de notification sous 72 heures auprès de l'autorité de contrôle, et sans délai indu auprès des personnes affectées lorsque le risque pour leurs droits est élevé, s'appliquent précisément pour permettre aux victimes d'agir vite. L'exposition de numéros de sécurité sociale est l'équivalent fonctionnel de la compromission d'identifiants de connexion aux services publics. Les entreprises européennes du secteur énergétique, soumises à la fois au RGPD et à NIS2, disposent en théorie d'un cadre de notification plus contraignant qui, s'il est respecté, permet une réponse plus rapide des victimes.

Ce qu'il faut retenir

• Les résidents texans clients de CenterPoint Energy devraient placer un gel de crédit préventif auprès des trois principales agences de crédit américaines (Equifax, Experian, TransUnion) sans attendre la notification officielle de l'entreprise.
• L'absence de notification directe aux victimes un mois après la divulgation à la SEC illustre les lacunes de la réglementation américaine sur les délais de communication, par contraste avec le RGPD européen et ses exigences de 72 heures.
• Le secteur de l'énergie reste un vecteur privilégié d'attaques combinant vol de données personnelles et accès potentiel à des systèmes opérationnels critiques, justifiant un niveau de vigilance accru de la part des RSSI des entreprises du secteur.