CenterPoint Energy potwierdziła, że podczas cyberataku nieuprawniona strona pozyskała dane osobowe części klientów. Firma poinformowała o incydencie w zgłoszeniu do amerykańskiej Komisji Papierów Wartościowych i Giełd, SEC, po tym jak w internecie pojawiła się publikacja zawierająca dane, które miały zostać skradzione z systemów przedsiębiorstwa. Dochodzenie nadal trwa, dlatego spółka nie podała jeszcze ostatecznej liczby poszkodowanych ani pełnego zakresu ujawnionych informacji.
CenterPoint Energy to dostawca energii elektrycznej i gazu z siedzibą w Houston. Firma obsługuje około 7 mln klientów rozliczanych na podstawie wskazań liczników w stanach Indiana, Minnesota, Ohio i Teksas, a także prowadzi działalność związaną z wytwarzaniem energii. Według informacji przekazanych redakcji BleepingComputer przez osobę podającą się za sprawcę, skradzionych miało zostać 7,49 mln rekordów klientów. Opublikowane dane rzekomo zawierały informacje umożliwiające identyfikację i powiązanie klientów z ich usługami.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
W zgłoszeniu do SEC CenterPoint Energy podała, że nieuprawniona strona uzyskała dane osobowe dotyczące części klientów za pośrednictwem jednego z systemów dostępnych z internetu. Spółka współpracuje z zewnętrznymi ekspertami do spraw cyberbezpieczeństwa, aby ustalić zakres naruszenia. Zapowiedziała także powiadomienie osób, których dane mogły zostać objęte incydentem, oraz właściwych organów, zgodnie z obowiązującymi przepisami. Do czasu zakończenia analizy firma nie potwierdziła, że wszystkie informacje wymienione przez napastnika rzeczywiście znalazły się w wycieku.
Osoba, która twierdzi, że odpowiada za kradzież danych, przekazała, że uzyskała je przez automatyczne odpytywanie publicznego interfejsu API CenterPoint Energy. Według tej relacji system miał nie stosować ograniczenia liczby żądań, ochrony zapory aplikacji webowej, WAF, ani innych zabezpieczeń przed masowym dostępem. Firma nie potwierdziła tego opisu sposobu działania sprawcy. Jeżeli przedstawiona wersja zostanie potwierdzona, wskazywałaby na znaczenie kontroli ograniczających automatyczne pobieranie danych z usług wystawionych do internetu.
CenterPoint Energy poinformowała, że cyberatak nie wpłynął na dostawy energii elektrycznej i gazu. Spółka uruchomiła procedury reagowania na incydenty, zaangażowała zewnętrznych specjalistów, wzmocniła zabezpieczenia swoich systemów oraz powiadomiła organy ścigania i regulatorów. Firma oceniła również, że na tym etapie nie oczekuje istotnego wpływu incydentu na działalność ani sytuację finansową.
W amerykańskich sądach federalnych złożono już kilka pozwów, w których kancelarie prawne proponują postępowania zbiorowe w imieniu potencjalnie poszkodowanych klientów. Autorzy pozwów twierdzą, że naruszenie mogło trwać od 17 sierpnia do 1 września. Są to zarzuty procesowe, a ich złożenie nie przesądza o odpowiedzialności spółki. Kluczowe dla dalszej oceny sprawy będzie zakończenie dochodzenia oraz bezpośrednie powiadomienie klientów, których dane faktycznie zostały objęte incydentem.
Brak komentarzy. Bądź pierwszy!