API sem autenticação expõe clientes da utility texana — segunda vez em três anos

A CenterPoint Energy confirmou formalmente o incidente via Form 8-K protocolado na SEC em 14 de setembro de 2026 — o canal de divulgação obrigatório para companhias abertas nos EUA após a regra de cibersegurança da SEC de

2023. O texto do filing (fonte A, credibilidade

1) admite que 'um terceiro não autorizado obteve informações pessoais referentes a uma porção de seus clientes por meio de um dos sistemas externos da empresa'. A empresa não quantifica afetados, não nomeia o sistema e não confirma a autenticidade do dataset publicado pelo ator.

O ator operando sob o alias '4d722e4d656f77' — decodificado do hexadecimal como 'Mr. Meow', sem vínculos conhecidos a grupos rastreados — publicou em fórum aberto em 1º de setembro alegando 7,49 milhões de registros brutos e 6,73 milhões filtrados, com amostras e arquivos completos para download em JSON e CSV. O ator atribuiu o acesso a uma API da empresa com autenticação insuficiente, ausência de rate limiting e controles inadequados — alegação que não foi confirmada nem negada oficialmente.

Três das cinco ações coletivas em andamento identificam especificamente a feature de 'guest bill pay' como ponto de entrada. Essa função permite pagamento de contas usando apenas o número de conta do cliente, mas, segundo as ações, retorna um conjunto amplo de dados pessoais quando o número correto é informado. Isso corresponde ao padrão técnico de IDOR (Insecure Direct Object Reference) combinado com scraping de API sem controles de volume — um vetor que dispensa credenciais comprometidas e é difícil de detectar sem monitoramento de anomalias de acesso.

A distância entre o alegado (7,49M) e o confirmado ('uma porção') é a principal lacuna analítica. A CenterPoint serve aproximadamente 7 milhões de clientes — o número alegado pelo ator equivaleria a praticamente a totalidade da base. Isso é tecnicamente possível em um cenário de scraping irrestrito de API pública, mas a empresa não confirmou nem os dados do ator são verificáveis externamente sem acesso ao dataset. O veredito 'inflated' reflete que o incidente é real, mas o volume alegado não tem corroboração independente.

Um elemento de contexto relevante e subnoticiado: este não é o primeiro grande incidente de dados da CenterPoint. Em maio de 2023, a empresa foi afetada indiretamente pelo ataque MOVEit/CLEAResult, com cerca de 3 milhões de registros de clientes copiados — e a empresa só reconheceu publicamente o incidente após abordagem de jornalistas, mais de um ano e meio depois. Esse histórico levanta questões legítimas sobre a maturidade do programa de resposta a incidentes e a cultura de transparência da organização, independentemente dos méritos do caso atual.

Nenhum regulador setorial — NERC, FERC ou procuradores-gerais estaduais nos estados atendidos (Texas, Indiana, Minnesota, Ohio) — fez divulgação pública até o momento desta publicação. A empresa afirma ter notificado 'certas autoridades regulatórias', mas não especifica quais. A ausência de manifestação regulatória independente impede qualquer avaliação externa do escopo real do incidente.

A CenterPoint Energy atende aproximadamente 7 milhões de clientes em Texas, Indiana, Minnesota e Ohio com serviços de eletricidade e gás natural. Os dados alegadamente expostos incluem nome, telefone, e-mail, endereços de serviço e faturamento, identificadores de conta e premissa, valores de fatura, status de autopay e faturamento eletrônico, e os últimos quatro dígitos do número do seguro social (SSN). Esse conjunto habilita ataques de phishing altamente personalizados com dados de contas reais, fraude de identidade e, em menor grau, engenharia social junto à própria utility. A infraestrutura crítica de energia não foi afetada — a empresa confirmou que entrega de eletricidade e gás permanece operacional. Cinco ações coletivas federais estão em andamento; nenhuma classe foi certificada. A empresa antecipa custos de resposta ao incidente, mas indica que seguro cibernético cobrirá parte relevante das despesas.