CenterPoint Energy确认，未经授权的一方通过其一个对外系统获取了与部分客户相关的个人信息，此前网上出现一则帖子，声称泄露了从该公司窃取的数据。公司在提交给美国证券交易委员会（SEC）的文件中表示，调查仍在进行，但未披露受影响客户数量或遭访问信息的性质。
公司发现一个威胁行为者发布的帖子后开始调查，该行为者声称窃取了749万条记录。使用化名4d722e4d656f77的攻击者称，数据包括姓名、电话号码、服务地址和账单地址、账户号码、账单金额以及社会保障号码的部分数字。攻击者还发布了这些数据，并声称公司无视其信息，将其当作玩笑处理。
截至目前，包括泄露规模和数据类型在内的这些细节，尚未得到CenterPoint Energy的独立确认。公司仅确认，第三方通过一个对外暴露的系统获取了个人信息，并表示正与外部机构的专家合作，以确定事件范围、涉及的数据和受影响客户，然后根据法律要求通知客户和监管机构。
已知的访问方式是什么？
据BleepingComputer网站转述的攻击者说法，数据是通过公共应用程序编程接口（API）尝试数百万个标识符提取的。攻击者声称，该接口缺少请求速率限制、Web应用程序防火墙（WAF）保护以及其他限制自动化访问的措施。这一说法仍有待官方调查确认，但它表明，如果不限制和监控查询机制，可通过互联网访问的系统可能会成为大规模攻击入口。
服务仍在持续，但事件影响尚未确定
CenterPoint Energy表示，电力和燃气服务未受影响，目前预计不会对其业务或财务状况造成重大影响。该公司运营电力、天然气服务和发电设施，为印第安纳州、明尼苏达州、俄亥俄州和得克萨斯州约700万名计量客户提供服务，拥有约8,300名员工，年收入超过93亿美元。
公司已启动事件响应措施，聘请外部网络安全专家，加强其系统保护，并通知执法机构和监管机构。与此同时，已有多起拟议集体诉讼在联邦法院提起，代表可能受影响客户的律师事务所声称，入侵发生在8月17日至9月1日期间。
为什么这则消息重要？
这起事件的重要性在于，客户数据具有敏感性，而攻击者提出的数字范围广泛，但关键细节仍未得到官方确认。电力和燃气服务未受影响，并不意味着账户和账单数据不存在被滥用的风险；但这意味着目前公布的事件更多涉及数据保密性，而非服务连续性。调查结果将确定实际受影响人数、泄露数据是否包括社会保障号码或其他信息，以及是否需要通知客户或采取额外保护措施。