هک CenterPoint Energy؛ اطلاعات ۷ میلیون مشتری در معرض خطر؟

شرکت انرژی CenterPoint Energy پس از انتشار ادعاهایی در یک انجمن هکری، وقوع یک نقض امنیتی و دسترسی غیرمجاز به داده‌های مشتریان را تأیید کرد.

این شرکت اعلام کرده است که یک فرد یا گروه غیرمجاز از طریق یکی از سامانه‌های خارجی آن به برخی اطلاعات مشتریان دسترسی پیدا کرده است. این افشاگری پس از آن صورت گرفت که یک هکر در فضای آنلاین مدعی شد میلیون‌ها رکورد متعلق به مشتریان CenterPoint Energy را سرقت کرده است.

هکر مدعی استخراج ۷.۴۹ میلیون رکورد مشتریان CenterPoint شد

یک عامل تهدید با نام مستعار 4d722e4d656f77 ادعا کرده است که ۷.۴۹ میلیون خط از داده‌های مشتریان CenterPoint Energy را از طریق یک رابط برنامه‌نویسی کاربردی (API) استخراج کرده است.

به ادعای این هکر، API مورد استفاده فاقد برخی سازوکارهای امنیتی از جمله فایروال برنامه‌های وب (WAF)، محدودیت نرخ درخواست (Rate Limiting)، بررسی گواهی و توکن احراز هویت بوده است.

این عامل تهدید همچنین مدعی شده داده‌ها ابتدا در قالب JSONL استخراج و سپس به فایل‌های CSV منتقل و فیلتر شده‌اند؛ در حالی که اطلاعات شخصی موجود در آنها همچنان حفظ شده است.

او همچنین ادعا کرده است که استفاده از CAPTCHA برای دانلود داده‌ها، حجم اطلاعات قابل استخراج را به ۷.۴۹ میلیون رکورد محدود کرده و بدون این محدودیت، امکان استخراج ۱۷.۴۴ میلیون رکورد وجود داشته است.

البته این ارقام و جزئیات فنی، ادعاهای مطرح‌شده از سوی عامل تهدید هستند و لزوماً به معنای تأیید مستقل آنها از سوی CenterPoint Energy نیستند.

چه اطلاعاتی ممکن است در این نقض داده افشا شده باشد؟

فهرستی که در ادعای هکر منتشر شده، شامل طیف گسترده‌ای از اطلاعات مشتریان است. برخی از داده‌های ادعایی عبارت‌اند از:

• نام مشتری
• شماره تلفن
• آدرس محل دریافت خدمات
• آدرس صورتحساب
• شماره حساب
• شناسه‌های پیش‌فرض
• مبالغ صورتحساب
• تاریخ سررسید پرداخت
• وضعیت پرداخت خودکار
• وضعیت دریافت صورتحساب بدون کاغذ
• کلاس یا نوع تعرفه
• آدرس ایمیل
• شماره گواهینامه رانندگی
• چهار رقم پایانی شماره تأمین اجتماعی

در صورت تأیید کامل این موارد، چنین مجموعه‌ای از اطلاعات می‌تواند از نظر حریم خصوصی و امنیت مشتریان اهمیت بالایی داشته باشد.

CenterPoint Energy نقض امنیتی را به SEC گزارش کرد

CenterPoint Energy در یک فرم 8-K ثبت‌شده نزد کمیسیون بورس و اوراق بهادار آمریکا (SEC) در ۱۴ سپتامبر اعلام کرد که از انتشار یک پست آنلاین توسط شخص ثالث مطلع شده است؛ پستی که در آن ادعا شده بود مجموعه‌ای از داده‌های حاوی اطلاعات مشتریان این شرکت در اختیار فرد یا گروه مذکور قرار دارد.

این شرکت اعلام کرده است که همچنان با کارشناسان خارجی همکاری می‌کند تا دامنه و ابعاد این حادثه امنیتی را مشخص کند.

CenterPoint همچنین گفته است که مطابق قوانین مربوطه، قصد دارد مشتریان آسیب‌دیده و نهادهای نظارتی را در جریان این حادثه قرار دهد.

خدمات برق و گاز CenterPoint همچنان فعال است

بر اساس گزارش ارائه‌شده به SEC، این حادثه تأثیری بر خدمات برق و گاز CenterPoint Energy نداشته است.

این شرکت اعلام کرده که عملیات مربوط به ارائه خدمات همچنان ادامه دارد و بدون وقفه انجام می‌شود.

CenterPoint همچنین در گزارش خود اعلام کرده است که تا زمان ثبت گزارش، انتظار ندارد این حادثه تأثیر قابل‌توجهی بر وضعیت مالی یا نتایج عملیاتی شرکت داشته باشد.

CenterPoint Energy چند میلیون مشتری دارد؟

CenterPoint Energy یک شرکت خدمات عمومی مستقر در شهر هیوستون ایالت تگزاس است که خدمات برق و گاز طبیعی ارائه می‌کند.

این شرکت به حدود ۷ میلیون مشتری در ایالت‌های ایندیانا، مینه‌سوتا، اوهایو و تگزاس خدمات‌رسانی می‌کند.

به همین دلیل، هرگونه دسترسی غیرمجاز به سامانه‌های این شرکت می‌تواند از منظر امنیت سایبری و حفاظت از اطلاعات شخصی، توجه گسترده‌ای را به خود جلب کند.

شکایت‌های گروهی علیه CenterPoint Energy

رسانه‌های محلی همچنین گزارش داده‌اند که CenterPoint Energy با چندین شکایت گروهی (Class Action) از سوی مشتریان در چند ایالت مواجه شده است.

این شکایت‌ها در ارتباط با نقض ادعایی داده‌های مشتریان مطرح شده‌اند و روند حقوقی آنها می‌تواند ابعاد بیشتری از حادثه و نحوه مدیریت اطلاعات مشتریان را روشن کند.

با این حال، جزئیات نهایی درباره تعداد واقعی افراد تحت تأثیر، نوع دقیق اطلاعات افشاشده و نحوه دسترسی مهاجمان همچنان در دست بررسی است.

ابعاد واقعی هک CenterPoint هنوز مشخص نیست

در حال حاضر باید میان ادعاهای مطرح‌شده در انجمن‌ها و فضای زیرزمینی هک و اطلاعاتی که به‌طور رسمی از سوی CenterPoint Energy تأیید شده است، تفاوت قائل شد.

آنچه شرکت تاکنون تأیید کرده، دسترسی یک شخص ثالث غیرمجاز به داده‌های مشتریان از طریق یکی از سامانه‌های خارجی شرکت است. اما دامنه دقیق این دسترسی و اینکه آیا تمام داده‌های ادعاشده توسط هکر واقعاً به سرقت رفته‌اند یا خیر، همچنان در حال بررسی است.

نتایج تحقیقات کارشناسان امنیت سایبری و اطلاع‌رسانی‌های بعدی CenterPoint Energy می‌تواند تصویر دقیق‌تری از ابعاد این نقض داده و امنیت اطلاعات مشتریان ارائه کند.