Firma CenterPoint Energy, dostarczająca energię elektryczną i gaz w kilku stanach USA, stała się ofiarą poważnego wycieku danych. Incydent miał miejsce między 19 a 22 sierpnia 2026 roku, a wykryto go dopiero we wrześniu. Według doniesień z forów cyberprzestępczych, atakujący wykorzystali publiczne API, któremu brakowało uwierzytelniania, limitowania zapytań (rate limiting) oraz ochrony WAF.
Skutki ataku są znaczące – dotkniętych może być ponad 1,6 miliona osób. Wyciek obejmuje wrażliwe dane, takie jak imiona, nazwiska, adresy, numery Social Security oraz numery praw jazdy. Sprawa wywołała już falę pozwów zbiorowych w Stanach Zjednoczonych.
To nie pierwszy problem tego dostawcy. Wcześniej firma ucierpiała w wyniku ataku na łańcuch dostaw MOVEit oraz była celem brokera dostępu AntiBrok3rs. Obecny incydent pokazuje, jak krytyczne dla bezpieczeństwa infrastruktury są poprawnie zabezpieczone interfejsy API.
