CenterPoint Energy reportó una filtración de datos que afecta a 1,062,060 residentes de Texas: qué dicen los registros y por qué la mayoría de esas personas aún no ha sido notificada

¿Qué ocurrió?

CenterPoint Energy, Inc. es la empresa tenedora de servicios públicos con sede en Houston que distribuye electricidad en el área metropolitana de Houston a través de CenterPoint Energy Houston Electric, LLC y gas natural a través de CenterPoint Energy Resources Corp.

En un Formulario 8-K presentado ante la Comisión de Bolsa y Valores el 14 de septiembre de 2026, CenterPoint declaró que en septiembre de 2026 “tomó conocimiento de una publicación en línea de un tercero que afirmaba haber obtenido un conjunto de datos con cierta información de clientes de la empresa”. El documento indica que la empresa activó sus protocolos de respuesta a incidentes de ciberseguridad, inició una investigación con expertos externos en ciberseguridad y tomó medidas adicionales para proteger sus sistemas.

El mismo documento contiene la conclusión que más importa a los clientes: “la empresa ha determinado que un tercero no autorizado obtuvo información personal relativa a una parte de los clientes de la empresa a través de uno de los sistemas de la empresa expuestos al exterior”. CenterPoint dijo que seguía trabajando con expertos externos para determinar el alcance de los clientes y de la información personal afectada, que había reportado el asunto a las autoridades policiales y notificado a ciertas autoridades reguladoras, y que tenía la intención de notificar a los clientes afectados y a los reguladores conforme lo exige la ley aplicable.

El documento también registra lo que no se vio afectado: CenterPoint declaró que su distribución de servicio eléctrico y de gas “no se ha visto afectada y sigue operativa y sin interrupciones”. Fue un incidente de información, no un corte de servicio.

Cómo salió a la luz la cifra de Texas

El documento de septiembre no dio ninguna cifra. El número llegó un mes después, a partir de un registro de Texas y no de un anuncio de la empresa.

Texas exige que una empresa que sufre una filtración que afecta a por lo menos 250 residentes de Texas la reporte al Fiscal General, y esos reportes se recopilan en el sistema de reportes de filtraciones de datos del Fiscal General. En la semana del 12 de octubre de 2026, se reportó que ese listado mostraba el incidente de CenterPoint en 1,062,060 residentes de Texas, con las categorías afectadas descritas como nombres, direcciones, información del Seguro Social y números de licencia de conducir.

Dos detalles de ese listado merecen leerse con cuidado. Primero, el reporte registró que los consumidores afectados aún no habían sido notificados al momento de presentarse. Segundo, el sistema del Fiscal General advierte que tanto la cifra de residentes afectados como el estado de la notificación pueden actualizarse después, de modo que 1,062,060 es la cifra reportada al Estado a esa fecha, no un recuento final.

El comentario público de CenterPoint del 14 de octubre de 2026 fue congruente con eso: la empresa dijo que “continúa investigando activamente el incidente de ciberseguridad divulgado el mes pasado”, que está trabajando con expertos externos para determinar el alcance de los datos afectados y qué clientes recibirán avisos, y que sus servicios de distribución eléctrica y de gas siguen operativos.

La cifra mayor sin confirmar, señalada como lo que es

Junto con los documentos circula una cifra mucho mayor, y conviene ser claro sobre de dónde viene y qué valor tiene.

Una persona que publica en un foro de delitos informáticos, con el alias 4d722e4d656f77, afirmó haber tomado más de 7.49 millones de registros de una interfaz de programación de aplicaciones controlada por CenterPoint, y el 12 de septiembre de 2026 publicó un archivo de 2.5 GB que según dijo contenía los datos. Esa persona alegó que la interfaz carecía de autenticación y de límites de velocidad adecuados, y describió campos que incluían nombres, datos de contacto, direcciones de servicio y de facturación, identificadores de cuenta y de predio, información de facturación y de pagos, estado de pago automático y de facturación sin papel, y números parciales del Seguro Social.

Nada de eso ha sido confirmado. CenterPoint no ha verificado la cantidad de registros, la autenticidad del archivo ni los campos de datos descritos, y su documento 8-K atribuye el incidente solamente a “uno de los sistemas de la empresa expuestos al exterior”, sin describir cómo se accedió a él. La diferencia entre 1,062,060 y 7.49 millones no está explicada en el registro público, y las dos cifras no miden lo mismo: una es un recuento de residentes de Texas reportado a un regulador estatal, y la otra es un recuento alegado de registros en una geografía no especificada. CenterPoint también atiende a clientes en Indiana, Minnesota y Ohio, y el reporte de Texas se refiere únicamente a residentes de Texas.

¿A quiénes puede afectar?

La población afectada reportada a Texas proviene de los registros de clientes de CenterPoint, lo que significa que las personas con mayor probabilidad de aparecer en ella son quienes han tenido una cuenta de distribución eléctrica o de gas con CenterPoint. CenterPoint Energy Houston Electric distribuye electricidad en toda el área metropolitana de Houston, y las operaciones de gas de CenterPoint llegan mucho más allá, hacia comunidades del sur, el centro y el este de Texas, de modo que la cifra reportada de más de un millón no se limita a un solo condado.

Hay dos grupos fáciles de pasar por alto. El primero son los antiguos clientes: una filtración de registros históricos de cuentas puede alcanzar a alguien que cerró su cuenta hace años y que ya no se considera cliente. El segundo son las personas que comparten una cuenta del hogar sin ser el titular, cuya información puede estar igualmente en el mismo registro.

Como los avisos no habían salido cuando se presentó el reporte de Texas, la situación práctica para la mayoría de estos residentes hoy es que la ausencia de una carta no es información. CenterPoint ha dicho que sigue determinando qué clientes recibirán avisos.

Qué exige la ley de Texas a una empresa tras una filtración

Texas regula la notificación de filtraciones en la Ley de Protección y Aplicación contra el Robo de Identidad, el capítulo 521 del Código de Negocios y Comercio de Texas. La Sección 521.053 fija dos plazos distintos, y son hechos, no predicciones sobre este caso:

• El aviso a las personas afectadas debe darse sin demora injustificada y no después de 60 días a partir de que la empresa determina que ocurrió una filtración.
• El aviso al Fiscal General de Texas se exige cuando una filtración afecta a por lo menos 250 residentes de Texas, tan pronto como sea posible y no después de 30 días a partir de que la empresa determina que ocurrió una filtración. El plazo de 30 días sustituyó a un plazo anterior de 60 días en virtud del Proyecto de Ley del Senado 768, vigente desde el 1 de septiembre de 2023.

Ambos plazos corren desde la fecha en que la empresa determina que ocurrió una filtración, que es una fecha distinta de aquella en que escucha un rumor por primera vez y distinta también de la fecha en que concluye una investigación. Determinar qué fecha corresponde a una empresa concreta en un registro concreto es exactamente el tipo de pregunta que examina un abogado, y no es algo que un cliente pueda resolver desde fuera.

La ley de Texas también prevé un congelamiento de seguridad sobre el expediente de un consumidor en poder de una agencia de informes del consumidor, conforme al capítulo 20 del Código de Negocios y Comercio de Texas. Muchas personas afectadas por una filtración que involucra información del Seguro Social o de licencias de conducir consultan sobre un congelamiento, una alerta de fraude o un monitoreo de crédito, y un abogado puede explicar cómo encajan esas herramientas legales en una situación concreta.

¿Qué tipo de reclamo podría aplicar?

Nada de lo aquí expuesto establece que una persona en particular tenga un reclamo, y nadie puede saber por una nota de prensa si un hogar determinado lo tiene. Lo que sí puede describirse es el tipo de trabajo que hace un abogado con un registro como este.

Los abogados de Texas que atienden asuntos de filtración de datos suelen examinar si la información realmente expuesta de una persona es del tipo que puede usarse indebidamente, qué sabía la empresa y cuándo lo supo, si el aviso se dio dentro de los plazos legales, y si existe un daño identificable: una cuenta fraudulenta, una declaración de impuestos presentada por otra persona, una cuenta vaciada, el tiempo y el costo de reparar un expediente de crédito. Los reclamos en esta materia se plantean comúnmente por negligencia y conforme a la ley de protección al consumidor de Texas, y las filtraciones de este tamaño con frecuencia dan lugar a propuestas de demandas colectivas en las que un residente afectado puede tener que decidir si participa. La aplicación del propio capítulo 521 corresponde al Fiscal General, y esa es una razón por la que un reclamo privado suele construirse sobre otras teorías, una distinción que un abogado puede explicar en términos sencillos.

Un abogado de protección al consumidor con experiencia puede revisar los documentos, cualquier aviso que llegue y lo que realmente haya ocurrido en las cuentas de una persona, y explicar qué opciones pueden existir para esa situación concreta.

Por qué actuar pronto puede importar

Hay una buena noticia en el calendario: esto es temprano. Los avisos reportados no han salido y el expediente se está formando ahora, en lugar de años después de los hechos, y esa es la mejor posición posible.

Aun así, conviene conocer dos hechos. Conforme a la sección 16.003 del Código de Práctica y Recursos Civiles de Texas, una acción por negligencia generalmente debe presentarse dentro de dos años, y el momento en que ese plazo empieza a correr en un caso de filtración puede ser materia de disputa. Y en una propuesta de demanda colectiva, las fechas que importan a una persona las fija un tribunal y no la empresa, por lo cual muchas personas piden a un abogado que vigile el expediente judicial en su lugar.

Los registros también son más fáciles de reunir mientras aún existen. Los estados de cuenta, el sobre y la fecha de cualquier aviso, las capturas de pantalla de actividad desconocida y la correspondencia de un banco o de una agencia de crédito son la materia prima con la que trabaja un abogado, y es mejor hablar con un abogado sobre qué vale la pena conservar antes de desechar algo.

Fuentes

1. CenterPoint Energy, Inc., Formulario 8-K presentado ante la Comisión de Bolsa y Valores, 14 de septiembre de 2026, Punto 8.01 Otros Eventos — el conocimiento en septiembre de 2026 de la publicación del tercero, la determinación de que un tercero no autorizado obtuvo información personal de una parte de los clientes a través de uno de los sistemas de la empresa expuestos al exterior, el reporte a las autoridades policiales, la intención declarada de notificar a los clientes afectados y la declaración de que la distribución eléctrica y de gas no se vio afectada (fuente primaria).
2. Legislatura de Texas, Código de Negocios y Comercio de Texas, capítulo 521, Ley de Protección y Aplicación contra el Robo de Identidad — el deber de notificar la filtración, el plazo de 60 días para el aviso individual, el umbral de 250 residentes y el plazo de 30 días para reportar al Fiscal General, y las disposiciones de aplicación (fuente primaria).
3. Legislatura de Texas, Código de Negocios y Comercio de Texas, capítulo 20 — el congelamiento de seguridad disponible sobre el expediente de un consumidor en poder de una agencia de informes del consumidor (fuente primaria).
4. Legislatura de Texas, Código de Práctica y Recursos Civiles de Texas, sección 16.003 — el plazo de prescripción de dos años para las acciones por negligencia (fuente primaria).
5. “More than 1 million Texans affected by CenterPoint data breach, AG report shows”, KPRC 2 Houston, 14 de octubre de 2026 — la cifra de 1,062,060 del listado del Fiscal General, las categorías de datos, el registro de que los consumidores afectados aún no habían sido notificados y la declaración de CenterPoint del 14 de octubre.
6. “CenterPoint Energy Data Breach Impacts 1 Million Texans”, SecurityWeek, 15 de octubre de 2026 — segundo relato independiente de la cifra de 1,062,060 y de las categorías de datos, el intervalo de cerca de un mes tras la divulgación a la SEC, la aparente ausencia de cartas de notificación y el territorio de servicio de CenterPoint en Indiana, Minnesota y Ohio.
7. “CenterPoint Energy Data Breach: More Than 1 Million Texans Affected”, Security Affairs, 16 de octubre de 2026 — tercer relato independiente, incluida la publicación en el foro del 12 de septiembre, la afirmación de 7.49 millones de registros, el archivo de 2.5 GB, los campos de datos alegados y la nota de que la cifra del Fiscal General es muy inferior al total alegado.
8. “CenterPoint Energy confirms data breach after hacker claims 7.49M records”, CyberInsider — el alias del autor de la amenaza, la afirmación de que la interfaz carecía de autenticación y de límites de velocidad, y la constancia de que CenterPoint no ha confirmado la cantidad, el archivo ni los campos.
9. “Texas Tightens State’s Data Breach Notification Law”, The National Law Review — confirmación independiente de que el Proyecto de Ley del Senado 768 redujo el plazo de aviso al Fiscal General de 60 a 30 días, vigente desde el 1 de septiembre de 2023, y de que el umbral de reporte es de 250 residentes de Texas.