CenterPoint Energy i Houston bekräftar att ett dataintrång exponerat personnummer och körkortsnummer för 1,06 miljoner texaner. Intrånget skedde via ett externt system hos en tredje part, och kunderna fick ingen information förrän Texas justitiedepartement publicerade rapporten.

Vad hände

En obehörig aktör fick tillgång till ett av CenterPoints externa system förra månaden. Energibolaget rapporterade intrånget i en SEC-anmälan men angav inte hur många kunder som drabbats.

Texas Attorney General Ken Paxtons kontor publicerade detaljerna den 14 oktober. Siffran stannade på 1 062 060 berörda texaner. Exponerade uppgifter: namn, adresser, personnummer och körkortsnummer.

CenterPoint hade vid publiceringen inte meddelat de drabbade kunderna.

Vad det betyder för svenska företag

CenterPoint-intrånget illustrerar ett mönster som slår lika hårt mot svenska energi- och infrastrukturbolag: angreppet kom via ett externt system, inte kärnsystemen.

Tredjepartsåtkomst är en av de vanligaste ingångsvägarna vid dataintrång. Många organisationer kontrollerar sina egna system noggrant men missar att ställa samma krav på leverantörer och partners.

Tre konkreta åtgärder:

• Inventera externa system som har åtkomst till kunddata. Vilka leverantörer kan nå er kunddatabas?
• Sätt tidsgränser för incidentrapportering. CenterPoint informerade inte sina 1 miljon kunder direkt. GDPR kräver anmälan till Integritetsskyddsmyndigheten inom 72 timmar vid personuppgiftsincidenter.
• Testa tredjepartsleverantörers säkerhet regelbundet, inte bara vid onboarding.

CenterPoint betjänar kunder i Texas, Indiana, Ohio och Minnesota. Bolaget har ännu inte kommenterat hur intrånget ska ha skett.

Källa: Houston Chronicle, Texas Attorney General