חברת האנרגיה האמריקאית CenterPoint Energy, שמשרתת כשבעה מיליון לקוחות מדודים בטקסס, אינדיאנה, מינסוטה ואוהיו, אישרה כי תוקף גנב מידע אישי של לקוחותיה. התוקף טוען שניצל ממשק תכנות (API) ציבורי של החברה שלא היה מוגן כראוי כדי לשלוף רשומות בהיקף גדול.
הפרטים
לפי דיווח התוקף, שהשתמש בכינוי "4d722e4d656f77", הפריצה בוצעה בין 17 באוגוסט ל-1 בספטמבר 2026, באמצעות מעבר שיטתי ("iterating") על מיליוני מזהים במערכת API חיצונית של החברה, שלא כללה הגבלת קצב בקשות (rate limiting) או חומת אש לאפליקציות (WAF). כך, לטענתו, הוא הצליח לשלוף כ-7.49 מיליון רשומות לקוחות. המידע שנחשף כלל שמות, מספרי טלפון, כתובות שירות וחיוב, מספרי חשבון, סכומי חיוב וחלקים ממספרי ביטוח סוציאלי (SSN). לא מדובר במתקפת כופרה, ושירותי החשמל והגז של החברה לא נפגעו.
CenterPoint אישרה את האירוע בדיווח רשמי לרשות ניירות הערך האמריקאית (SEC), מבלי לפרט את מספר הלקוחות המדויק שנפגעו, ומסרה כי הפעילה נהלי תגובה לאירוע, שכרה חוקרי סייבר חיצוניים ופנתה לרשויות אכיפת החוק. כבר הוגשו מספר תביעות ייצוגיות בבתי משפט פדרליים מטעם משרדי עורכי דין המייצגים לקוחות שעלולים היו להיפגע.
נקודות לשים לב
- אם אתם לקוחות CenterPoint Energy — עקבו אחר הודעות רשמיות מהחברה בנוגע להתראה על דלף מידע, ושקלו הקפאת אשראי בהתחשב בחשיפת חלקים ממספרי SSN.
- המקרה הוא תזכורת לארגונים המפעילים API ציבורי: היעדר הגבלת קצב בקשות וחומת אש לאפליקציות אִפשר, לפי התוקף, שליפה שיטתית של מיליוני רשומות בלי צורך בפריצה טכנית מתוחכמת.
- מדובר בפריצת מידע ולא במתקפת כופרה — אין עדות לפגיעה בתשתית החשמל או הגז, אך זה לא מקטין את הסיכון לגניבת זהות עבור הלקוחות שנחשפו.
- אל תסיקו מהמקרה שמדובר בפרצה ספציפית למגזר האנרגיה — הבעיה המרכזית כאן היא הגנת API חלשה, סוגיה שרלוונטית לכל ארגון עם ממשקים חיצוניים ללא הגבלת קצב.
מקורות: BleepingComputer
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
