豪州のエネルギー大手Origin、データ侵害で顧客情報が流出したと発表

オーストラリアのエネルギー事業者Origin Energyは、身元不明の脅威アクターによるデータ侵害を確認したと発表しました。この侵害により、顧客の個人識別情報(PII)が流出しました。

同社の顧客数は480万人に上り、現在、影響を受けた顧客の人数を調査しているところで、リスクについては個別に通知する方針です。

Origin Energyはオーストラリア最大のエネルギー小売事業者で、国内の数百万人の顧客に電力、天然ガス、ブロードバンドインターネットサービスを提供しています。

同社はASX(オーストラリア証券取引所)上場企業で、年間売上高は85億ドルに上り、英国の再生可能エネルギー小売事業者Octopusの株式を20%保有しています。

Originは昨日、「一部顧客のデータへの不正アクセスを伴う可能性のあるセキュリティインシデント」の調査を開始したと発表しました。

• 氏名
• 住所
• 生年月日
• 電話番号
• アカウント情報
• クレジットカード番号下4桁
• 銀行口座番号下3桁

同社は、流出した金融関連の詳細情報は「不完全」であり、アカウントの乗っ取りや顧客の銀行口座への不正請求には利用できないと説明しています。

OriginのCEOであるFrank Calabria氏は、機密性の高いデータが流出したことについて顧客に謝罪するとともに、さらなる不正アクセスを防ぐための対策を講じていると説明しました。

また、影響が確認された顧客に対しては直接連絡を取り、専用ポータルおよび関連リソースを通じたサポートを提供しています。

Originは今回のインシデントについて、オーストラリア連邦警察(AFP)、オーストラリアサイバーセキュリティセンター、オーストラリア情報コミッショナー事務局に報告済みで、必要に応じて各機関との連携を続けています。

大規模なデータ窃取を主張するハッカー

地元メディアの7newsの報道によると、Origin Energyが2回目の声明を発表する前に、「John Doe」を名乗る脅威アクターが同メディアに接触し、侵害の犯行を主張していたことが分かりました。

この脅威アクターは、Originの顧客200万人分のデータを保有していると主張しています。

このハッカーは、セキュリティチームやカスタマーサポート、さらには役員クラスにまで接触を試みたものの、返答を得られなかったと主張しています。

このハッカーはサイトを立ち上げ、Originが解決策を交渉するためSignal経由で連絡してこない限り、2週間以内に盗んだデータを流出させると脅迫しています。