CenterPoint Energy Konfirmasi Data Pelanggan Dicuri dalam Serangan Siber

Perusahaan utilitas asal Amerika Serikat, CenterPoint Energy, mengonfirmasi bahwa sebagian informasi pribadi pelanggan mereka telah diperoleh oleh pihak tidak berwenang dalam sebuah insiden siber.

Konfirmasi tersebut disampaikan setelah seorang pelaku ancaman mengklaim telah mencuri jutaan data pelanggan dari sistem perusahaan dan kemudian membocorkan sebagian data tersebut secara online.

CenterPoint Energy mulai melakukan investigasi setelah menemukan unggahan online dari seorang threat actor yang mengklaim telah mencuri sekitar 7,49 juta record dari perusahaan.

Data Pelanggan Diduga Dicuri dari Sistem yang Terhubung ke Internet

CenterPoint Energy merupakan perusahaan utilitas yang berbasis di Houston dan menyediakan layanan listrik serta gas alam. Perusahaan juga mengoperasikan fasilitas pembangkit listrik dan melayani sekitar 7 juta pelanggan bermeter di Indiana, Minnesota, Ohio, dan Texas.

Awal September 2026, seorang threat actor dengan alias “4d722e4d656f77” mengklaim telah mencuri 7,49 juta data pelanggan CenterPoint Energy.

Menurut klaim tersebut, data yang dicuri mencakup berbagai informasi pelanggan, antara lain:

• Nama.
• Nomor telepon.
• Alamat layanan.
• Alamat penagihan.
• Nomor rekening.
• Jumlah tagihan.
• Sebagian nomor Social Security Number (SSN).

Pelaku kemudian membocorkan data tersebut secara online. Ia mengklaim bahwa CenterPoint Energy mengabaikan pesan yang dikirimkan kepadanya dan tidak menganggap serius klaim pencurian data tersebut.

Namun, CenterPoint Energy hingga saat ini belum mengonfirmasi jumlah 7,49 juta record maupun seluruh jenis data yang diklaim telah dicuri.

API Publik Diduga Dimanfaatkan untuk Mengambil Data

Menurut klaim threat actor tersebut, data diperoleh dengan melakukan enumerasi terhadap jutaan ID melalui API publik CenterPoint Energy.

Pelaku mengklaim API tersebut tidak memiliki sejumlah perlindungan yang dapat membatasi pengambilan data secara otomatis dalam skala besar.

Beberapa mekanisme keamanan yang disebut tidak tersedia antara lain rate limiting dan Web Application Firewall (WAF).

Jika klaim tersebut benar, penyerang dapat melakukan permintaan dalam jumlah besar dengan mengganti atau mengiterasi ID tertentu hingga memperoleh data dari banyak record.

Namun, rincian teknis mengenai metode tersebut masih merupakan klaim dari pihak yang mengaku sebagai pelaku. CenterPoint Energy belum mengungkapkan secara publik bagaimana pihak tidak berwenang memperoleh data tersebut.

CenterPoint Mengonfirmasi Adanya Pencurian Data

Dalam laporan kepada U.S. Securities and Exchange Commission (SEC), CenterPoint Energy mengonfirmasi bahwa informasi pribadi pelanggan memang telah diperoleh oleh pihak tidak berwenang.

Perusahaan menyatakan bahwa investigasi masih berlangsung dan saat ini belum menentukan secara final cakupan pelanggan maupun informasi pribadi yang terdampak.

CenterPoint menjelaskan bahwa pihak tidak berwenang memperoleh informasi pribadi yang berkaitan dengan sebagian pelanggan melalui salah satu sistem perusahaan yang terekspos ke internet.

Perusahaan masih bekerja sama dengan pakar keamanan siber pihak ketiga untuk menentukan cakupan insiden. CenterPoint juga menyatakan akan memberi tahu pelanggan dan regulator apabila diwajibkan berdasarkan hukum yang berlaku.

Dengan demikian, konfirmasi perusahaan memastikan bahwa insiden pencurian data memang terjadi, tetapi jumlah pelanggan yang terdampak dan jenis informasi yang dicuri belum dikonfirmasi secara resmi.

Layanan Listrik dan Gas Tidak Terganggu

CenterPoint Energy mengatakan bahwa serangan siber tersebut tidak berdampak terhadap layanan listrik maupun gas yang diberikan kepada pelanggan.

Perusahaan juga menyatakan tidak memperkirakan insiden tersebut akan memberikan dampak material terhadap bisnis atau kondisi keuangannya.

Ini berarti insiden yang dikonfirmasi saat ini berkaitan dengan akses dan pencurian informasi pelanggan, bukan gangguan terhadap operasional penyediaan listrik dan gas.

Meski demikian, kebocoran informasi pribadi tetap dapat menimbulkan risiko lanjutan bagi pelanggan, terutama jika data tersebut digunakan untuk phishing, penipuan identitas, atau rekayasa sosial.

Investigasi dan Respons Keamanan Sedang Berlangsung

CenterPoint Energy telah mengaktifkan prosedur incident response setelah mengetahui adanya insiden tersebut.

Perusahaan juga telah:

• Melibatkan pakar cybersecurity pihak ketiga.
• Memperkuat perlindungan pada sistem perusahaan.
• Melaporkan insiden kepada aparat penegak hukum.
• Melaporkan insiden kepada regulator terkait.
• Melanjutkan investigasi untuk menentukan cakupan data yang terdampak.

Perusahaan mengatakan pemberitahuan akan diberikan kepada pelanggan dan regulator sesuai dengan persyaratan hukum setelah cakupan insiden diketahui.

Gugatan Class Action Mulai Diajukan

Insiden ini juga mulai memicu tindakan hukum.

Sejumlah firma hukum telah mengajukan gugatan yang mengusulkan class action terhadap CenterPoint Energy di pengadilan federal AS atas nama pelanggan yang berpotensi terdampak.

Gugatan tersebut menuduhkan bahwa pelanggaran data berlangsung antara 17 Agustus hingga 1 September 2026.

Waktu tersebut berasal dari dugaan yang tercantum dalam gugatan dan bukan merupakan rentang waktu yang telah dikonfirmasi CenterPoint Energy sebagai periode terjadinya pencurian data.

Jumlah Korban Masih Belum Diketahui

CenterPoint Energy memang telah mengonfirmasi bahwa pihak tidak berwenang memperoleh informasi pribadi pelanggan, tetapi perusahaan belum mengungkapkan berapa banyak pelanggan yang benar-benar terdampak.

Angka 7,49 juta record yang beredar berasal dari klaim threat actor dan belum dikonfirmasi oleh perusahaan.

Hal yang juga belum diketahui secara resmi adalah apakah seluruh data yang diklaim tersebut benar-benar berasal dari CenterPoint Energy, berapa banyak record yang unik, serta jenis informasi apa saja yang termasuk dalam data yang berhasil diperoleh.

Investigasi yang masih berlangsung akan menentukan cakupan sebenarnya dari insiden tersebut.

Bagi pelanggan CenterPoint Energy, perkembangan ini menunjukkan pentingnya mewaspadai komunikasi mencurigakan yang menggunakan informasi pribadi, nomor rekening, alamat, atau detail tagihan sebagai bagian dari upaya phishing maupun penipuan.

Sumber: CenterPoint Energy / U.S. Securities and Exchange Commission