CenterPoint Energy confirme 7,49 millions de dossiers volés

Ce qui s'est passé

CenterPoint Energy, l'une des plus grandes entreprises de distribution d'énergie des États-Unis desservant environ 10 millions de clients dans les États du Texas, de l'Indiana, du Minnesota, de l'Ohio et du Mississippi, a confirmé avoir subi une violation de données significative. L'annonce est intervenue après que le groupe a été confronté à la publication par un acteur malveillant, début septembre 2026, d'une revendication sur un forum du dark web.

Le 1er septembre 2026, un acteur utilisant l'alias « 4d722e4d656f77 » a posté sur ce forum une annonce affirmant avoir exfiltré 7,49 millions de dossiers bruts et 6,73 millions de dossiers filtrés à partir des systèmes de CenterPoint. L'attaquant a fourni des échantillons des données volées à l'appui de sa revendication. CenterPoint a confirmé l'existence d'une violation via un système externe, sans valider le volume exact de 7,49 millions ni l'authenticité complète du dataset publié. La confirmation a été rapportée par Help Net Security le 16 septembre 2026.

La méthode d'attaque décrite par l'acteur malveillant est particulièrement préoccupante par sa simplicité. Selon le post du forum, l'attaquant a exploité un endpoint API exposé publiquement par CenterPoint et dépourvu de mécanismes de protection adéquats : pas d'authentification obligatoire, pas de limitation du débit (rate limiting), absence de contrôles de sécurité standard. L'attaquant a lui-même noté avec ironie qu'un système CAPTCHA avait interrompu son extraction à 7,49 millions de lignes — sans ce mécanisme, il écrivait avoir pu télécharger 17,44 millions de dossiers. La remarque souligne à quel point l'infrastructure était exposée.

Les données exfiltrées, telles que décrites dans le post et partiellement validées par des chercheurs ayant examiné les échantillons, couvrent un large spectre d'informations personnelles et financières : noms complets des clients, numéros de téléphone, adresses email, adresses de service et de facturation, identifiants de compte et de site (premise identifiers), montants de facturation, informations de paiement, statut du prélèvement automatique et de la facturation sans papier, et les quatre derniers chiffres des numéros de sécurité sociale (SSN). Ce dernier champ, même partiel, constitue un élément d'identification suffisant pour des tentatives de fraude à l'identité ou d'ingénierie sociale ciblée.

CenterPoint a indiqué avoir notifié les forces de l'ordre et certaines autorités réglementaires, et s'être engagé à informer les clients affectés ainsi que les autorités compétentes là où la loi l'exige. Cette obligation de notification découle de plusieurs législations étatiques sur la protection des données, notamment la loi texane HB 4, dont CenterPoint dessert environ 2,4 millions de clients résidentiels et commerciaux dans l'agglomération de Houston.

La réaction juridique a été rapide. Au moins cinq recours collectifs fédéraux ont été déposés entre le 10 et le 13 septembre 2026, avant même la confirmation officielle de l'entreprise. Les cabinets Shamis et Gentile et Lippe et Associates figurent parmi les plaignants, représentant des clients du Texas, de l'Indiana et du Minnesota. Les plaintes allèguent généralement une négligence dans la protection des données personnelles, le défaut de mise en œuvre de mesures de sécurité raisonnables, et un préjudice potentiel lié au risque d'usurpation d'identité. Le montant des dommages réclamés reste à déterminer, mais compte tenu du volume de dossiers impliqués, les analyses de certains observateurs estiment que les enjeux juridiques pourraient dépasser plusieurs centaines de millions de dollars.

CenterPoint Energy n'est pas la première entreprise du secteur de l'énergie à subir une violation d'envergure en 2026. Le secteur, longtemps considéré comme moins exposé que les secteurs financier ou de la santé, est devenu une cible privilégiée pour les acteurs malveillants — qu'ils soient motivés financièrement ou étatiques. Les opérateurs d'infrastructures critiques détiennent des bases de données clients massives combinant données personnelles, financières et géographiques, qui ont une valeur marchande élevée sur les places de marché du dark web. Par ailleurs, la dépendance croissante aux interfaces API pour la gestion des opérations crée une surface d'attaque significative si ces interfaces ne sont pas correctement sécurisées.

Sur le plan technique, la vulnérabilité décrite — une API publique sans authentification ni rate limiting — est caractéristique d'une classe de failles documentée dans l'OWASP API Security Top 10 sous les catégories API1:2023 (Broken Object Level Authorization) et API4:2023 (Unrestricted Resource Consumption). Ces failles ne nécessitent pas d'exploit sophistiqué : un attaquant équipé d'un simple script d'automatisation peut extraire des millions d'enregistrements en quelques heures. L'absence de contrôle de débit côté serveur est particulièrement notable pour une infrastructure de la taille de CenterPoint, dont les systèmes sont soumis aux exigences de cybersécurité du secteur énergie encadrées par la NERC CIP (North American Electric Reliability Corporation Critical Infrastructure Protection) aux États-Unis.

La SEC (Securities and Exchange Commission) pourrait également examiner la situation, notamment au regard de la règle de divulgation des incidents de cybersécurité entrée en vigueur en décembre 2023, qui impose aux entreprises cotées de signaler les incidents matériels dans les quatre jours ouvrables. CenterPoint Energy (NYSE : CNP) avait déposé un formulaire 10-Q en août 2026 mentionnant les risques cybersécurité de façon générique, sans référence à cet incident spécifique.

Pourquoi c'est important

La violation de CenterPoint Energy illustre un phénomène structurel dans la sécurité des grandes entreprises de services : le décalage entre la sophistication des systèmes de production et la sécurité des interfaces exposées en périphérie. Un endpoint API public sans authentification représente une erreur de configuration fondamentale, non un vecteur d'attaque avancé. Pour les équipes de sécurité des opérateurs d'infrastructures critiques, cet incident rappelle l'importance des revues de surface d'attaque externe (External Attack Surface Management ou EASM) qui cartographient l'ensemble des assets exposés, y compris les API développées par des équipes métier sans supervision de la DSI ou de la RSSI.

L'exposition des quatre derniers chiffres du SSN revêt une importance particulière dans le contexte américain. Combinés aux autres champs disponibles dans le dataset — nom, adresse, email, données de facturation — ces éléments constituent un profil suffisamment complet pour des attaques de phishing hyper-ciblé (spear-phishing), de SIM swapping ou de fraude à l'identité. Les 7,49 millions de victimes potentielles doivent surveiller attentivement leurs relevés de crédit, activer des alertes de fraude auprès des bureaux Equifax, Experian et TransUnion, et être particulièrement vigilantes face à des communications prétendant émaner de CenterPoint.

Sur le plan réglementaire, cet incident s'inscrit dans un contexte de durcissement progressif des exigences de cybersécurité pour le secteur de l'énergie aux États-Unis. Le NIST CSF 2.0, publié en février 2024, et les directives renforcées de la CISA pour les opérateurs d'infrastructures critiques créent un cadre de responsabilité croissante. Les enquêtes réglementaires initiées par les États concernés — notamment le Texas, dont le Public Utility Commission surveille CenterPoint de près depuis les défaillances lors de la tempête hivernale de 2021 — pourraient aboutir à des amendes significatives si le défaut de contrôles de sécurité est avéré.

Pour les équipes de réponse aux incidents et les praticiens de la cybersécurité, cet incident offre également une leçon sur la communication de crise. CenterPoint a confirmé la violation sans valider le volume exact — une approche prudente mais qui laisse un vide informationnel comblé par des spéculations et des recours juridiques préventifs. La communication proactive avec les clients affectés, accompagnée d'offres de surveillance du crédit, constitue désormais la norme attendue par les régulateurs et les tribunaux.

Ce qu'il faut retenir

• Un endpoint API public sans authentification ni rate limiting a permis l'exfiltration de 7,49 millions de dossiers clients de CenterPoint Energy — une faille de configuration élémentaire, pas un exploit avancé.
• Les données exposées incluent des SSN partiels, créant un risque réel de fraude à l'identité pour les millions de clients concernés.
• Les clients CenterPoint doivent activer des alertes de crédit et être en alerte face aux tentatives de phishing exploitant ces données dans les semaines à venir.