Fuite de données chez Southern Company : le seul décompte est celui du groupe, environ 400 000 comptes, sans date ni cause

Southern Company·+1.44% — Southern Company, up 1.44 percent as of its last quote est le deuxième grand électricien américain en un mois à perdre des données clients par le biais d'un système accessible depuis internet↗ ⁷. Et le seul chiffre rattaché à l'incident émane de Southern elle-même : environ 400 000 comptes clients touchés via le portail client en ligne↗ ¹². L'entreprise n'a fourni ni date ni explication sur le déroulement de l'intrusion ¹. Les notifications aux clients concernés partent cette semaine par courrier postal et par courriel ¹². Le premier test de l'impact de la fuite sur les comptes du groupe est fixé au 5 novembre ⁵.

Le point d'entrée : le portail client, pas le réseau électrique

Southern, maison mère basée à Atlanta de Georgia Power, Alabama Power et Mississippi Power, a indiqué le 5 octobre qu'un tiers non autorisé avait accédé à des informations limitées sur les comptes : noms, adresses, numéros de téléphone, adresses électroniques, ainsi que les quatre derniers chiffres de numéros de sécurité sociale américains et d'identifiants fiscaux d'entreprise ¹. Les numéros de compte bancaire, de carte de paiement et de permis de conduire n'ont pas été touchés, assure l'entreprise, qui offre aux clients concernés un an de surveillance de crédit gratuite ².

Sur ce total, environ 300 000 comptes relèvent de Georgia Power, qui dessert 2,8 millions de clients ²³. 100 000 autres se trouvent chez Alabama Power, et Mississippi Power est citée comme touchée, sans qu'aucun chiffre ait été publié ¹. CenterPoint Energy a révélé de son côté sa propre fuite, également via un système accessible depuis l'extérieur, dans un document déposé auprès de la SEC en septembre ⁷.

Un décompte qui repose sur la seule parole de l'entreprise

Edelson Lechtzin, cabinet national spécialisé dans les class actions, a ouvert une enquête le 9 octobre↗. Ademi LLP, un autre cabinet de class action, lui a emboîté le pas le 14 octobre↗ ¹⁴. Dans son communiqué, Ademi LLP fait figurer les données de comptes bancaires et de cartes de paiement parmi les informations susceptibles d'avoir été compromises — des catégories que Southern affirme n'avoir jamais été consultées ⁴². C'est sur cet écart entre allégations et divulgation que ces dossiers se jouent.

Chez CenterPoint, le procureur général du Texas recense désormais 1 062 060 Texans touchés et indique que l'électricien ne les avait toujours pas avertis ⁷. Chez Southern, aucun décompte des régulateurs n'a filtré depuis le communiqué du 5 octobre. L'Atlanta Journal-Constitution situe l'intrusion dans le portail client durant la semaine qui a précédé l'annonce↗, mais l'entreprise n'a rien confirmé ³¹.

Le 5 novembre dira si la fuite rejaillit sur les résultats

Le trimestre a déjà son ouragan : Isaias. Les électriciens de Southern avaient rétabli environ 420 000 clients au 10 octobre, il en restait encore à peu près 80 000 privés de courant ⁵. Les analystes tablent sur un bénéfice par action de 1,65 dollar, contre 1,60 dollar un an plus tôt ⁵. Le consensus de chiffre d'affaires s'établit à 8,26 milliards de dollars, contre 7,82 milliards au même trimestre de l'an dernier ⁵.

Pour une entreprise d'environ 100 milliards de dollars de capitalisation boursière ⁵, la surveillance de crédit et la défense juridique sont des coûts mineurs. Mais pour un électricien régulé, ces coûts se débattent devant les commissions de régulation des États, qui fixent les tarifs — c'est pourquoi la divulgation compte ici davantage que les dommages et intérêts. BofA et JPMorgan ont abaissé leurs objectifs de cours le 13 octobre↗ ⁵, et l'analyste de KeyBanc Sophie Karp maintient un avis de vente, avec un objectif de 74 dollars — l'exception dans un panel encore regroupé dans les 90 dollars ⁵⁶.

En interne, le signal donné par les initiés est négatif : 51 d'entre eux ont été vendeurs nets au cours du dernier trimestre↗ ⁶. Le contrôleur financier Matthew M. Kim a cédé 1 400 actions pour 124 418 dollars le mois dernier ⁶.

Une entreprise qui fait elle-même le compte de sa fuite de données et refuse de la dater demande à 400 000 clients, à deux cabinets d'avocats et à ses commissions de régulation des États de prendre son arithmétique pour argent comptant. Le 5 novembre sera le premier point d'étape sur le coût de cette confiance.