CenterPoint Energyは、攻撃者が同社から盗み出したとされるデータを流出させたことを受け、一部顧客の個人情報が漏えいしたことを公表しました。
調査は、脅威アクターが749万件の記録を盗んだと主張するオンライン投稿を同社が発見したことをきっかけに開始されました。
CenterPoint Energyはヒューストンを拠点とする公益事業会社で、電力・天然ガスサービスを提供するとともに、発電施設も運営しています。
同社はインディアナ州、ミネソタ州、オハイオ州、テキサス州で約700万件の検針対象顧客にサービスを提供しており、従業員数は約8,300人、年間売上高は93億ドルを超えています。
今月初め、「4d722e4d656f77」というエイリアスを使う脅威アクターがBleepingComputerに対し、CenterPoint Energyから749万件の顧客記録を盗み出したと語りました。その中には氏名、電話番号、サービス先住所および請求先住所、口座番号、請求金額、社会保障番号(SSN)の一部が含まれるとしています。
この脅威アクターはデータを流出させ、同社が自分たちのメッセージを無視し、冗談として扱ったと主張しています。
この侵入者によると、CenterPointの公開APIには数百万件のIDを総当たりで試すことができ、レート制限やWebアプリケーションファイアウォール(WAF)による保護、その他自動アクセスに対するセキュリティ対策が欠けていたため、これを悪用してデータを窃取したとのことです。
CenterPoint Energyは米証券取引委員会(SEC)への提出書類の中でデータが盗まれたことを認めていますが、脅威アクターの名前や影響を受けた顧客数、漏えいしたデータの種類については明らかにしていません。
「調査は現在も継続中ですが、当社は、外部に公開されているシステムの一つを通じて、権限のない第三者が当社の一部顧客に関する個人情報を取得したと判断しました」とSECへの提出書類には記されています。
「当社は今回の事案により影響を受けた顧客および個人情報の範囲を特定するため、引き続き第三者の専門家と協力しており、適用される法律に従って影響を受けた顧客および規制当局への通知を行う予定です」
CenterPoint Energyは、今回のサイバー攻撃による電力・ガスサービスへの影響はなかったとしており、この事案が事業や財務状況に重大な影響を及ぼすとは考えていないとしています。
CenterPointはインシデント対応手順を発動させ、サードパーティのサイバーセキュリティ専門家を雇用し、システムの保護を強化するとともに、法執行機関および規制当局に今回の事案を報告しました。
影響を受けた可能性のある顧客を代理する法律事務所により、今回のデータ侵害は8月17日から9月1日の間に発生したとして、同社を相手取った複数のクラスアクション(集団訴訟)提起が、すでに連邦裁判所に対して行われています。
