CenterPoint Energyは、外部システムの一つを通じて権限のない第三者が顧客データにアクセスしたことを公表しました。これは、あるハッカーが同社から数百万件の記録を盗み出したとオンラインで主張したことを受けてのものです。
CenterPoint Energyはヒューストンを拠点とする公益事業会社で、電力および天然ガスサービスを提供しています。インディアナ州、ミネソタ州、オハイオ州、テキサス州の約700万人の顧客にサービスを展開しています。
「4d722e4d656f77」というエイリアスを使うハッカーは、ウェブアプリケーションファイアウォールもレート制限も認証チェックも認証トークンも存在しないAPIを通じて、CenterPointの顧客データ749万行を抜き取ったと主張しています。
この脅威アクターは、データはJSONL形式で抜き取った後、個人情報をそのまま保持したCSVファイルにフィルタリングしたと書いています。同投稿では、CenterPointほどの規模の企業がこれほど脆弱な保護しか施していなかったことを「滑稽だ」と評しており、CAPTCHAによってダウンロードが749万行で打ち切られたと指摘しています。CAPTCHAがなければ「1744万件のデータを抜き取れていただろう」とこの脅威アクターは書いています。
流出したとされるフィールドには、顧客名、電話番号、サービス先住所・請求先住所、口座番号、物件ID、請求金額、支払期日、自動引き落としおよびペーパーレス請求の設定状況、料金区分、メールアドレス、運転免許証番号、社会保障番号の下4桁が含まれています。
9月14日に提出されたSEC Form 8-Kにおいて、CenterPointは、顧客情報を含むデータセットを保有していると主張する第三者によるオンライン投稿を認識したことを確認しました。
同社はさらに、侵害の範囲を特定するために外部専門家との協力を継続していると述べ、「適用法が求める通り、影響を受けた顧客および規制当局に通知する予定」としています。
「当社による電力・ガスサービスの提供には影響がなく、稼働状況に支障は生じていません。本提出書類の日付時点において、当社は当社の財務状況または経営成績に重大な影響が生じる可能性は合理的に高くないと考えています」と、SECへの提出書類には記されています。
地元メディアの報道によると、CenterPoint Energyは、データ侵害があったとする複数の州の顧客から複数の集団訴訟を起こされているといいます。
翻訳元: https://www.helpnetsecurity.com/2026/09/16/centerpoint-energy-data-breach-hacker-claims/
