CenterPoint Energy đã công bố một vụ rò rỉ dữ liệu sau khi một bên thứ ba không được ủy quyền thu thập thông tin cá nhân của một số khách hàng thông qua một hệ thống trực tuyến của công ty. Vụ việc này đã dẫn đến việc một lượng lớn dữ liệu bị lộ.
CenterPoint Energy Công Bố Sự Cố Rò Rỉ Dữ Liệu
Công ty năng lượng có trụ sở tại Houston đã tiết lộ sự cố này trong một hồ sơ Form 8-K gửi lên Ủy ban Chứng khoán và Giao dịch Hoa Kỳ vào ngày 14 tháng 9 năm 2026. CenterPoint cho biết họ đã nhận được thông tin về một bài đăng trực tuyến từ bên thứ ba tuyên bố nắm giữ một tập dữ liệu chứa thông tin khách hàng.
Sau khi phát hiện ra vụ việc bị cáo buộc lộ lọt dữ liệu, công ty đã ngay lập tức kích hoạt các quy trình ứng phó sự cố an ninh mạng. CenterPoint cũng đã tiến hành điều tra với sự tham gia của các chuyên gia an ninh mạng bên ngoài và triển khai các biện pháp tăng cường bảo vệ hệ thống của mình.
Chi Tiết Vụ Việc và Điều Tra
Theo hồ sơ gửi lên cơ quan quản lý, công ty đã xác nhận rằng một bên không được ủy quyền đã truy cập thông tin cá nhân liên quan đến một phần cơ sở khách hàng của họ. Tuy nhiên, CenterPoint vẫn chưa tiết lộ số lượng cá nhân bị ảnh hưởng, các loại dữ liệu cá nhân nào đã bị lộ hoặc danh tính của kẻ tấn công. Cuộc điều tra hiện vẫn đang tiếp tục, và công ty đang phối hợp với các chuyên gia ứng phó sự cố từ bên thứ ba để xác định phạm vi đầy đủ của vụ xâm nhập, bao gồm việc xác định khách hàng nào bị ảnh hưởng và thông tin nào đã bị lấy đi từ hệ thống trực tuyến bị lộ.
CenterPoint dự định sẽ thông báo cho các khách hàng bị ảnh hưởng và các cơ quan quản lý có liên quan theo yêu cầu của luật thông báo vi phạm dữ liệu hiện hành. Công ty cũng đã báo cáo vụ việc cho cơ quan thực thi pháp luật và thông báo cho một số cơ quan quản lý nhất định.
Tác Động và Phạm Vi Của Sự Cố
Công ty nhấn mạnh rằng các hoạt động cung cấp điện và khí đốt của họ không bị ảnh hưởng bởi sự cố an ninh mạng này. Việc cung cấp dịch vụ vẫn diễn ra bình thường và không bị gián đoạn. Điều này cho thấy những kẻ tấn công có thể đã truy cập vào một hệ thống liên quan đến khách hàng thay vì các hệ thống chịu trách nhiệm về công nghệ vận hành, quản lý lưới điện hoặc phân phối khí đốt.
Sự phân biệt này là quan trọng vì các công ty năng lượng vận hành các môi trường cơ sở hạ tầng quan trọng, nơi các sự cố mạng có thể gây ra rủi ro vượt ra ngoài việc lộ lọt dữ liệu. Một vụ xâm nhập ảnh hưởng đến công nghệ vận hành có khả năng làm gián đoạn việc cung cấp điện hoặc khí đốt. Đồng thời, việc xâm phạm các hệ thống hướng tới khách hàng hoặc hệ thống kinh doanh có thể làm lộ thông tin cá nhân, hồ sơ thanh toán, chi tiết tài khoản hoặc dữ liệu liên hệ.
CenterPoint đã không cung cấp thông tin chi tiết kỹ thuật về hệ thống trực tuyến liên quan đến sự cố. Hồ sơ cũng không xác nhận liệu việc truy cập có phải là kết quả của việc khai thác các lỗ hổng phần mềm, đánh cắp thông tin đăng nhập, kiểm soát xác thực yếu kém, cấu hình sai trên đám mây hay một phương thức xâm nhập khác hay không.
Các hệ thống hướng tới bên ngoài thường là mục tiêu của các tác nhân đe dọa vì chúng có thể truy cập được từ internet. Kẻ tấn công thường quét các môi trường này để tìm kiếm các lỗ hổng chưa được vá, các dịch vụ truy cập từ xa bị lộ, thông tin đăng nhập bị rò rỉ, nền tảng lưu trữ được cấu hình sai hoặc các lỗi bảo mật ứng dụng.
Chi Phí và Dự Đoán Tài Chính
Công ty cho biết họ đã phát sinh chi phí ứng phó sự cố và dự kiến sẽ có thêm các chi phí phát sinh khi cuộc điều tra tiếp tục. Các chi phí này có thể bao gồm phân tích pháp y, xem xét pháp lý, thông báo cho cơ quan quản lý, liên lạc với khách hàng, cải thiện bảo mật và các dịch vụ bảo vệ danh tính tiềm năng cho khách hàng bị ảnh hưởng.
CenterPoint cho biết họ có bảo hiểm an ninh mạng theo quy định và tin rằng khoản bảo hiểm này sẽ giúp bù đắp các chi phí liên quan đến vụ vi phạm. Ở giai đoạn này, công ty không tin rằng sự cố có khả năng ảnh hưởng vật chất đến tình hình tài chính hoặc kết quả hoạt động của mình. Tuy nhiên, công ty cảnh báo rằng phạm vi của vụ vi phạm có thể lớn hơn những gì hiện đang được biết. Quá trình xem xét đang diễn ra sẽ xác định mức độ dữ liệu khách hàng bị lộ, các yêu cầu khắc phục, nghĩa vụ pháp lý, khoản bồi thường từ bảo hiểm và tác động lâu dài của sự cố.
