CenterPoint Energy разкри, че неоторизирана трета страна е получила достъп до клиентски данни чрез една от нейните външни системи, след като в интернет се появиха твърдения от хакер, че са откраднати милиони записи от компанията.
CenterPoint Energy е компания за обществени услуги със седалище в Хюстън, която предоставя услуги за електричество и природен газ. Тя обслужва около 7 милиона клиенти в щатите Индиана, Минесота, Охайо и Тексас.
Хакер, публикуващ под псевдонима „4d722e4d656f77“, твърди, че е изтеглил 7,49 милиона реда клиентски данни на CenterPoint чрез API, което не е имало защитна стена за уеб приложения (WAF), ограничение на процента заявки (rate limiting), проверки на сертификати и токен за автентификация.
Атакуващият написа, че данните са били изтеглени в JSONL формат, след което са филтрирани в CSV файлове, които запазват личната информация незасегната. В публикацията се определя като „смешно“, че компания с размера на CenterPoint е имала толкова слаба защита, и се отбелязва, че CAPTCHA е прекратила изтеглянето при 7,49 милиона реда. Без нея, според думите на автора на заплахата, „щяхме да изтеглим 17,44 милиона данни“.
Посочените полета включват имена на клиенти, телефонни номера, адреси за обслужване и фактуриране, номера на сметки, идентификатори на имоти, суми за фактуриране, крайни срокове, статус на автоматично плащане и електронна фактура, тарифна класа, имейл адреси, номера на шофьорски книжки и последните четири цифри от социалноосигурителните номера.
В документ Form 8-K, подаден до Комисията по ценните книжа и борсите (SEC) на 14 септември, CenterPoint потвърди, че е научила за публикация в интернет от трета страна, твърдяща, че притежава набор от данни с клиентска информация.
Компанията добави, че продължава да работи с външни експерти за определяне на обхвата на пробива и че „възнамерява да уведоми засегнатите клиенти и регулаторните органи, както се изисква от приложимото законодателство“.
„Предоставянето на електрически и газови услуги от Компанията не е засегнато и остава оперативно и без прекъсване. Към датата на това подаване Компанията не смята, че е вероятно да има съществено въздействие върху финансовото състояние или резултатите от дейността на Компанията“, се казва в документацията на SEC.
Местните медии пишат, че CenterPoint Energy е изправена пред няколко колективни иска от клиенти в множество щати поради предполагаемото изтичане на данни.