CenterPoint Energy、顧客の個人情報が流出したデータ侵害を確認

CenterPoint Energyは、外部の第三者が同社の外部システムの一つを侵害し、一部顧客の個人情報にアクセスしていたことを確認しました。

ヒューストンを拠点とするこのエネルギー企業は、2026年9月14日付で米証券取引委員会(SEC)に提出したフォーム8-Kにおいて、本件を開示しました。CenterPointは、第三者が顧客情報を含むデータセットを保有していると主張するオンライン投稿を発見したことで、侵害の可能性を把握したとしています。

ランサムウェア対策ソフトウェア

CenterPoint Energyのデータ侵害

この主張を把握した同社は、サイバーセキュリティインシデント対応手順を発動し、調査を開始するとともに、フォレンジック分析と封じ込め対応を支援する外部のサイバーセキュリティ専門家を起用しました。

「権限のない第三者が、当社の外部システムの一つを通じて、当社顧客の一部に関連する個人情報を取得しました」とCenterPointは提出書類の中で述べています。

同社は、アクセスされた個人情報の種類、影響を受けた可能性のある顧客数、脅威アクターの身元、関与した具体的なシステムについては明らかにしていません。CenterPointが外部専門家と協力して流出の全容解明を進めており、調査は現在も継続中です。

CenterPointは、今回のセキュリティインシデントによって電力・ガスの供給業務に支障は生じていないと報告しています。同社によれば各種サービスは通常通り稼働しており、電力や天然ガスを顧客に届けるためのシステムには侵入の影響が及んでいないとのことです。

また同社は、現時点では今回のインシデントが財務状況や経営成績に重大な影響を及ぼす可能性は低いとの見方も示しています。

ただし提出書類では、CenterPointがすでに対応関連費用を計上しており、調査、修復、通知、コンプライアンス対応が続く中で追加費用が発生する見込みであることも認めています。

これらの費用には、デジタルフォレンジック作業、システムの堅牢化、法務・規制対応支援、顧客への通知、本人確認・ID保護サービス、インシデント復旧のための各種対策などが含まれる可能性があります。

CenterPointは、通常のサイバーセキュリティ保険に加入しており、この保険が侵害関連費用の一部を相殺してくれると見込んでいるとしています。最終的な財務への影響は、影響を受けた記録の範囲、規制上の義務、訴訟リスク、利用可能な保険金の額によって左右されるとのことです。

CenterPointは、どの個人およびどのデータ項目が関与していたかを特定次第、法律で定められた通り、影響を受けた顧客および規制当局に通知する方針です。同社はすでに本件を法執行機関に報告し、一部の規制当局にも通知済みです。

提出書類では、外部からアクセス可能なシステムの侵害調査でよくあるように、今回のインシデントの範囲が現在把握されているよりも広い可能性があるとの注意も付されています。

インターネットに面したインフラは、企業環境への足がかりを与えかねないため、依然として攻撃者の標的となっています。セキュリティチームは通常、外部公開されたシステムが認証情報の侵害、未パッチの脆弱性、安全性の低いリモートアクセス、Webアプリケーションの欠陥、あるいはID・アクセス管理の不備といった問題を抱えていないかを調査します。

顧客にとって今回の開示は、フィッシングメッセージや不正なアカウント活動、侵害で取得された個人情報を悪用したソーシャルエンジニアリングの試みに対して警戒を怠らないことの重要性を改めて示すものです。

顧客は、CenterPointを名乗る予期しない連絡については独自に真偽を確認し、身に覚えのないリンクやメール、電話を通じてアカウントの認証情報や金融情報を共有しないよう注意する必要があります。

CenterPointは、調査完了や影響を受けた個人への直接通知開始の時期については、まだ明らかにしていません。

SOCを最新の状態に保ち、出現から24時間以内にアクティブなマルウェアやフィッシングを検知しましょう。 早期検知でインシデントを未然に防ぐANYRUNを試す。