7,49 millones de facturas de luz y gas quedaron expuestas porque nadie cerró la puerta
Un atacante asegura que no forzó ninguna cerradura en CenterPoint Energy. Simplemente le pidió a su sistema público el cliente número 1, después el 2, después el 3 — millones de veces — y nada se lo impidió.
CenterPoint Energy, una empresa de servicios con sede en Houston que factura electricidad y gas a unos 7 millones de clientes con medidor en Indiana, Minnesota, Ohio y Texas, confirmó que alguien se llevó información personal de una parte de ellos. La compañía se enteró como se enteran hoy muchas empresas: vio una publicación en internet donde un desconocido presumía tener los datos.
Ese desconocido, que usa el alias 4d722e4d656f77, le dijo a BleepingComputer que había tomado 7,49 millones de registros de clientes: nombres, teléfonos, direcciones de servicio y de facturación, números de cuenta, montos de las facturas y números de seguro social parciales. Después publicó todo, alegando que la empresa había ignorado sus mensajes y los había tratado como una broma.
Esta es la parte que vale la pena detenerse a mirar. Según el intruso, no hubo ningún truco sofisticado. CenterPoint tenía un sistema abierto al público — un API, que no es más que la puerta que usa una aplicación para ir a buscar los datos de tu cuenta — y ese sistema respondía las solicitudes una identificación a la vez. Entonces el atacante escribió un script que recorrió millones de identificaciones, una tras otra. Dice que el sistema no tenía límite de velocidad (nada que le dijera "estás pidiendo demasiado rápido, para"), ni firewall de aplicaciones web, ni ninguna otra barrera contra el acceso automatizado.
Es el equivalente digital de un archivero en el pasillo con los cajones sin llave.
Eso también explica por qué los datos filtrados son tan comunes y tan útiles al mismo tiempo. Un nombre, más una dirección de servicio, más un número de cuenta, más cuánto debés: eso es todo lo que necesita una estafa telefónica convincente. Alguien te llama, sabe dónde vivís, sabe cuánto fue tu última factura hasta el último peso o dólar, y te dice que te van a cortar la luz esta noche si no pagás ahora mismo. Los números de seguro social parciales son el empujón final: la persona te lee dígitos que vos creías que solo conocía la empresa de luz, y ahí dejás de dudar.
En su presentación ante la Comisión de Bolsa y Valores de Estados Unidos (SEC), CenterPoint confirma que un tercero no autorizado obtuvo información personal de "una parte" de sus clientes a través de uno de sus sistemas expuestos al público. El documento no nombra al atacante, no da una cifra de clientes afectados y no especifica qué tipos de datos se llevaron. La empresa dice que el servicio de electricidad y gas no se vio afectado y que no cree que el incidente vaya a impactar de forma relevante su negocio o su situación financiera. Las dos cosas pueden ser ciertas a la vez: la luz siguió prendida, y la lista de clientes salió por la puerta.
Cualquiera que haya tenido una cuenta de servicios en Indiana, Minnesota, Ohio o Texas — incluida gente que se mudó hace años, porque las direcciones de servicio viejas son exactamente lo que queda guardado en un sistema de facturación. Y hay un segundo grupo del que casi no se habla: los veinteañeros que acaban de firmar su primer contrato de alquiler y pusieron la luz a su nombre por primera vez en la vida. Ese solo trámite creó un registro con su nombre, su dirección, su teléfono y cuánto deben pagar cada mes, guardado en una base de datos que nunca eligieron y que nunca van a ver. La forma más común en que alguien joven pierde sus primeros ahorros no es una mala inversión. Es una llamada de alguien que ya sabe lo suficiente sobre vos como para sonar oficial.
Hay dos cosas concretas para seguir de cerca. CenterPoint dice que todavía está trabajando con expertos externos para determinar cuántos clientes y qué información personal fueron afectados, y que planea notificar a los clientes y a los reguladores según lo exige la ley — así que el número real, que la presentación ante la SEC no da, debería aparecer en esas cartas de notificación. Y ya se presentaron varias demandas colectivas en tribunales federales, iniciadas por estudios de abogados que representan a posibles clientes afectados, que alegan que la filtración ocurrió entre el 17 de agosto y el 1 de septiembre. Esas demandas van a sacar fechas y detalles a la luz más rápido que cualquier comunicado de la empresa. Lo que la compañía no dijo, y que nadie confirmó públicamente todavía, es si el API sin protección que describe el atacante es el mismo sistema que se menciona en la presentación.
El motivo que dio el atacante para publicar todo no fue el dinero. Dijo que la empresa ignoró sus mensajes y, en sus palabras, los trató como una broma. No sabemos si eso es cierto — es la versión de una sola parte. Pero es un hecho extraño de esta época: los datos de facturación de 7,49 millones de personas pueden haberse hecho públicos porque alguien, en una bandeja de entrada, nunca contestó un correo.
Fuentes: Bleeping Computer, "CenterPoint Energy confirms customer data stolen in cyberattack" por Bill Toulas, 15 de septiembre de 2026; presentación de CenterPoint Energy ante la Comisión de Bolsa y Valores de EE. UU. (SEC), citada en dicho artículo.
7,49 millones de registros de clientes de una empresa de servicios —nombres, direcciones, montos de facturas y fragmentos de números de seguro social— quedaron expuestos por un API sin protección básica contra accesos automatizados, y el caso ya derivó en demandas colectivas.
Escrito por la redacción de IA de THE TELL. cómo trabajamos · correcciones