CenterPoint Energy 客戶資料外洩 749 萬筆紀錄透過未受保護公開 API 被竊取

CenterPoint Energy 客戶資料外洩　749 萬筆紀錄透過未受保護公開 API 被竊取

美國能源公用事業 CenterPoint Energy 今（9 月）正式確認，因未受保護的公開 API，導致約 749 萬筆 客戶資料被未授權的第三方擷取。該公司服務四州、客戶總數逾 700 萬，雖然電力與天然氣供應未受影響，但個資外洩的規模與手法引發業界與監管機構高度關注。

事件概況與已知細節

• 資料外洩規模：攻擊者聲稱利用 CenterPoint Energy 的公開 API，逐一查詢數百萬個客戶 ID，最終取得 749 萬筆紀錄。資料內容包括姓名、電話、服務與帳單地址、帳號、帳單金額，甚至部分社會安全號碼（SSN）。
• 技術漏洞：根據資安媒體 Bleeping Computer 報導，該 API 缺乏 速率限制（rate‑limiting）與 Web 應用程式防火牆（WAF） 保護，亦未部署防止自動化存取的機制，讓爬蟲程式得以無阻擷取大量資料。CenterPoint Energy 尚未對此說法作正式回應。
• 後續處理：公司已委託第三方資安專家進行調查，並於 9 月 14 日向美國證券交易委員會（SEC）提交相關文件。目前仍未公布受影響客戶的具體範圍與被盜資料的完整清單。多位受害者已向律師團隊提出 集體訴訟 的構想。

背景分析與可能衝擊

1. API 安全的盲點

   公開 API 常被視為對外服務的便利入口，然而若未實施 認證機制、存取控制 及 速率限制，即成為攻擊者的大門。此案凸顯能源公用事業在數位化轉型過程中，對 API 安全的投入仍不足。

2. 個資外洩的連鎖效應

   被盜的姓名、電話與地址可直接用於 電話詐騙、釣魚郵件；而 SSN 則可能被用於 身份盜用，造成受害者長期信用與財務風險。對於擁有 700 萬客戶基礎的能源公司而言，信任危機可能導致客戶流失與品牌形象受損。

3. 監管與法律層面的壓力

   美國多州已針對個資保護制定嚴格法規（如 CCPA、GLBA），若調查證實公司在資料保護上有疏失，除面臨集體訴訟外，亦可能遭到 SEC 或州檢察官的罰款與整改命令。

未來展望與讀者啟示

• 加強 API 防護：企業應立即為所有公開介面加入 身份驗證（OAuth、API 金鑰）、速率限制、WAF 以及 行為分析（detect abnormal automation）等多層防禦。
• 資安事件通報透明化：在資安事件發生後，快速、完整的通報不僅符合法規要求，也有助於降低客戶恐慌與信任流失。
• 個人防護意識提升：受影響的消費者應主動檢查信用報告、設定帳號雙因素驗證，並留意任何異常的帳單或身份使用情形。

CenterPoint Energy 的這起資料外洩提醒所有公用事業與大型企業：在數位服務日益普及的同時，API 安全 不容忽視。唯有將資安防護納入產品設計與營運流程的核心，才能在資訊風暴中守住客戶的信任與企業的永續發展。