CenterPoint Energyは、権限を持たない第三者が同社顧客の一部に関する個人情報を含むデータセットを不正に取得したとされるサイバーセキュリティインシデントを公表しました。
ヒューストンを拠点とするこの大手電力・ガス会社は、2026年9月に、顧客データを保有していると主張する第三者によるオンライン投稿を確認したと明らかにしました。
CenterPointは9月14日に米証券取引委員会(SEC)へ提出したForm 8-Kの中で、権限を持たない者が同社の外部向けシステムの一つを通じて個人情報にアクセスしたことを認めました。
同社は、流出した具体的なデータ項目、影響を受けた顧客数、侵害されたシステム、初期侵入経路、不正アクセスが行われた期間については特定していません。調査は現在も継続中です。
今回の公表内容から、今回のインシデントはエネルギー供給関連の技術に障害をもたらしたものではなく、インターネットに接続されたCenterPointのシステムが関与するものであることがわかります。
外部向け環境には、顧客ポータル、Webアプリケーション、リモートアクセスサービス、API(アプリケーションプログラミングインターフェース)、あるいは第三者ベンダーが運用するシステムなどが含まれます。
CenterPointは、当該のオンライン投稿を発見した後、システムをさらに保護するための対策を講じたとしています。同社は現在、外部の専門家と協力し、影響を受けた顧客の範囲およびアクセスされた個人情報の種類の特定を進めています。
CenterPointは今回の提出書類の中で、「調査は依然として進行中ですが、当社は権限を持たない第三者が当社の外部向けシステムの一つを通じて当社の顧客の一部に関する個人情報を取得したと判断しました」と述べています。
同社はまた、この問題を法執行当局に報告するとともに、一部の規制当局にも通知済みです。適用される法律に基づき、影響を受けた顧客および規制当局への通知を予定しているとしています。
CenterPointは、今回のサイバーインシデントによって電力・天然ガスの供給事業が中断されたことはないと強調しています。
同社によれば、サービスは現在も稼働を続けており、このことは今回のインシデントが運用技術(OT)やエネルギー配送インフラの可用性に影響を及ぼしていないことを示しています。
この点は電力・ガス事業者にとって重要な意味を持ちます。顧客向けシステムや企業システムに関わる侵害は、電力網やガス供給の運用そのものが無傷であっても、プライバシー・詐欺・規制上のリスクを生じさせる可能性があるためです。
流出した情報は、最終的なデータ分類の結果次第で、影響を受けた個人にさらなるリスクをもたらす可能性があります。
顧客の記録は、フィッシング、アカウント乗っ取り、なりすましによる個人情報窃取、不正な請求連絡、あるいは電力会社を装ったソーシャルエンジニアリング攻撃などに悪用される恐れがあり、脅威アクターにとって価値のあるものとなり得ます。
顧客は、CenterPoint Energyを名乗る不審なメール、SMSメッセージ、電話に引き続き注意を払う必要があります。
こうした要請のない連絡に対して、リンクをクリックしたり、アカウント認証情報、支払い情報、認証コード、個人を特定できる情報を開示したりしないようにしてください。
SEC.Govによれば、同社は現時点で、今回のインシデントが財務状況や事業成績に重大な影響を及ぼす可能性は合理的に見て低いとの見解を示しています。
ただし同社は、すでにインシデント対応にかかる費用が発生していることを認めており、調査、復旧、通知、コンプライアンス対応に関連して追加費用が発生する見込みであるとしています。
同社はサイバーセキュリティ保険に加入しており、インシデント関連費用の一部はこれによって相殺されると見込んでいます。それでも同社は、今回の侵害の最終的な規模、復旧コスト、保険適用の可否、規制上の義務については依然として不透明であると警告しています。
CenterPointの調査により、今回のインシデントが当初特定された顧客データセットの範囲を超えるものかどうか、また追加の公表や通知が必要となるかどうかが明らかになる見込みです。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。貴チーム向けに詳しく見る
翻訳元: https://cyberpress.org/centerpoint-energy-data-breach/
