CenterPoint Energy, 사이버 공격으로 고객 데이터 도난 확인

한 줄 요약

미국 에너지 기업 CenterPoint Energy가 외부에 공개된 API의 보안 허점을 노린 공격자에게 고객 데이터 약 749만 건을 도난당했습니다. 유출된 정보에는 이름, 전화번호, 주소, 계좌번호, 청구 금액, 부분 사회보장번호(SSN) 등 민감한 개인정보가 포함됩니다. 공격자는 API에 속도 제한(rate limiting)이나 웹방화벽(WAF) 같은 자동화 접근 차단 장치가 없었다고 직접 밝혔습니다. 회사는 미국 증권거래위원회(SEC)에 사건을 신고하고 사이버보안 전문가를 투입해 조사 중이며, 피해 고객 통지를 준비하고 있습니다. 이미 여러 건의 집단소송이 제기된 상태입니다.

사건

CenterPoint Energy의 외부 공개 API를 통해 공격자가 약 749만 건의 고객 개인정보를 탈취했고, 회사가 연락을 무시했다는 이유로 위협 행위자가 데이터를 공개 유출했습니다.

영향

이름·전화번호·서비스 및 청구 주소·계좌번호·청구 금액·부분 SSN이 포함된 수백만 고객 정보가 노출됐으며, 다수의 연방법원 집단소송이 이미 제기됐습니다.

원인

외부에 공개된 API에 속도 제한, WAF 등 자동화 스크래핑을 막는 보안 통제가 전혀 없어, 공격자가 수백만 개의 ID를 순차적으로 조회하는 방식으로 데이터를 수집했습니다.

대응

회사는 SEC에 신고하고, 사이버보안 전문가 및 법집행기관과 협력해 조사 중이며, 시스템 보호 조치를 강화하고 피해 고객 및 규제 기관 통보를 준비하고 있습니다.

실무 포인트

외부 공개 API에는 속도 제한·WAF·인증 강화 등 자동화 접근 차단 통제를 반드시 적용해야 하며, 대량 데이터 조회 이상 징후 모니터링 체계 구축이 필수적입니다.

본문

CenterPoint Energy가 위협 행위자가 해당 유틸리티 기업에서 탈취했다고 주장하는 데이터를 유출한 뒤, 일부 고객의 개인정보가 침해됐음을 공개했습니다.

조사는 회사가 749만 건의 기록을 탈취했다고 주장하는 위협 행위자의 온라인 게시물을 발견한 후 시작됐습니다.

CenterPoint Energy는 휴스턴에 본사를 둔 공공 유틸리티 기업으로, 전기 및 천연가스 서비스를 제공하고 발전 시설을 운영합니다.

인디애나, 미네소타, 오하이오, 텍사스에서 약 700만 명의 계량 고객에게 서비스를 제공하며, 약 8,300명을 고용하고 연간 93억 달러 이상의 매출을 올리고 있습니다.

이달 초, "4d722e4d656f77"라는 별칭을 사용하는 위협 행위자는 BleepingComputer에 CenterPoint Energy로부터 이름, 전화번호, 서비스 및 청구 주소, 계좌번호, 청구 금액, 부분 사회보장번호(SSN)를 포함한 749만 건의 고객 기록을 탈취했다고 밝혔습니다.

이 위협 행위자는 회사가 자신의 메시지를 무시하고 우습게 여겼다며 데이터를 유출했습니다.

침입자에 따르면, CenterPoint의 공개 API에서 속도 제한(rate limiting), 웹 애플리케이션 방화벽(WAF), 기타 자동화 접근 차단 보안 조치가 부재한 점을 이용해 수백만 개의 ID를 순차적으로 조회하는 방식으로 데이터를 탈취했다고 합니다.

미국 증권거래위원회(SEC)에 제출한 보고서에서 CenterPoint Energy는 데이터 도난을 확인했으나, 위협 행위자의 신원, 피해 고객 수, 침해된 데이터 유형은 밝히지 않았습니다.

"조사가 여전히 진행 중인 가운데, 회사는 미인가된 제3자가 회사의 외부 대면 시스템 중 하나를 통해 일부 고객의 개인정보를 획득했음을 확인했습니다." — SEC 제출 문서 중

"회사는 영향을 받은 고객과 개인정보의 범위를 파악하기 위해 제3자 전문가들과 지속적으로 협력하고 있으며, 관련 법률에서 요구하는 바에 따라 피해 고객 및 규제 당국에 통보할 계획입니다."

CenterPoint Energy는 이번 사이버 공격이 전기 및 가스 서비스에는 영향을 미치지 않았으며, 사업이나 재무 상황에 중대한 영향을 줄 것으로는 보지 않는다고 밝혔습니다.

CenterPoint는 사고 대응 절차를 가동하고, 제3자 사이버보안 전문가를 고용했으며, 시스템 보호 조치를 강화하고, 사건을 법집행기관 및 규제 당국에 신고했습니다.

피해 가능성이 있는 고객을 대리하는 법무법인들이 이미 연방법원에 집단소송을 다수 제기했으며, 이 소송들은 데이터 침해가 8월 17일부터 9월 1일 사이에 발생했다고 주장하고 있습니다.

AI 기반 공격에 대응하는 보안 청사진 구축

NFL, CHANEL, Atlassian의 보안 리더들과 Mikko Hyppönen이 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 중단해야 할 일은 무엇인지, 그리고 머신 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.

자리 예약하기