CenterPoint Energy 确认客户数据在网络攻击中被窃取

在一名攻击者泄露据称从这家公用事业公司窃取的数据后，CenterPoint Energy 披露了一起泄露部分客户个人信息的事件。

调查始于该公司发现一名威胁行为者在网上发帖，声称窃取了 749 万条记录。

CenterPoint Energy 是一家总部位于休斯顿的公用事业公司，提供电力和天然气服务，并运营发电设施。

该公司在印第安纳州、明尼苏达州、俄亥俄州和德克萨斯州拥有约 700 万计量客户，雇佣约 8,300 名员工，年收入超过 93 亿美元。

本月早些时候，一名使用别名 "4d722e4d656f77" 的威胁行为者告诉 BleepingComputer，他们从 CenterPoint Energy 窃取了 749 万条客户记录，其中包括姓名、电话号码、服务和账单地址、账户号码、账单金额以及部分 Social Security numbers (SSNs)。

该威胁行为者泄露了这些数据，声称该公司无视他们的消息，并把他们当成一个笑话。

据这名入侵者称，他们通过遍历 CenterPoint 公共 API 上的数百万个 ID 将数据外泄，该 API 缺少速率限制、Web 应用防火墙 (WAF) 保护以及其他针对自动化访问的安全措施。

在向美国证券交易委员会 (SEC) 提交的文件中，CenterPoint Energy 确认数据被窃取，但未点名威胁行为者、受影响客户的数量或被泄露的数据类型。

"尽管调查仍在进行中，本公司已确定一名未经授权的第三方通过本公司的一个面向外部的系统获取了与本公司部分客户相关的个人信息，"SEC 文件中写道。

"本公司正继续与第三方专家合作，以确定受该事件影响的客户和个人信息的范围，并打算按照适用法律的要求通知受影响的客户和监管机构。"

CenterPoint Energy 表示，其电力和天然气服务未受到该网络攻击的影响，且不相信该事件会对其业务或财务状况产生实质性影响。

CenterPoint 已启动其事件响应程序，聘请第三方网络安全专家，加强了其系统的防护，并向执法部门和监管机构报告了该事件。

代表可能受影响客户的律师事务所已在美国联邦法院提起多起针对该公司的集体诉讼，指控该数据泄露事件发生在 8 月 17 日至 9 月 1 日之间。