CenterPoint Energy, 해킹 포럼 주장 이후 데이터 침해 공식 확인

한 줄 요약

미국 대형 에너지 공급업체 CenterPoint Energy에서 약 749만 건의 고객 정보가 유출된 것으로 확인됐습니다. 해커는 인증 토큰도, 방화벽도, 속도 제한도 없는 허술한 API(서버 간 데이터 교환 통로)를 통해 고객 이름·전화번호·이메일·계좌번호·운전면허 번호·사회보장번호 끝 4자리 등 민감한 개인정보를 무단으로 빼갔다고 주장합니다. 회사는 미국 증권거래위원회(SEC)에 보고서를 제출하며 침해 사실을 공식 인정했고, 현재 외부 전문가와 함께 피해 범위를 조사 중입니다. 전기·가스 서비스 운영에는 지장이 없다고 밝혔으나, 여러 주에서 집단 소송이 제기되고 있습니다. 고객은 피싱(사기) 이메일이나 스미싱 문자에 각별히 주의해야 합니다.

사건

해커 '4d722e4d656f77'이 CenterPoint Energy의 인증·방화벽·속도 제한이 모두 없는 공개 API를 악용해 749만 건의 고객 개인정보를 JSONL 형식으로 수집한 뒤 CSV로 변환해 해킹 포럼에 공개했다. 회사는 9월 14일 SEC 8-K 보고서를 통해 침해 사실을 공식 인정했다.

영향

인디애나·미네소타·오하이오·텍사스 주 약 700만 고객 중 749만 건의 레코드가 유출됐으며, 유출 항목에는 이름·전화번호·주소·계좌번호·이메일·운전면허 번호·사회보장번호 끝 4자리가 포함된다. 여러 주에서 집단 소송이 진행 중이다.

원인

외부 시스템의 API에 웹 애플리케이션 방화벽(WAF), 속도 제한, 인증 토큰 등 기본적인 접근 통제가 전혀 적용되지 않았다.

대응

CenterPoint는 외부 보안 전문가와 함께 피해 범위를 조사 중이며, 관련 법령에 따라 피해 고객과 규제 당국에 통지할 예정이다. 전기·가스 서비스는 정상 운영 중이다.

실무 포인트

외부에 노출된 API에는 반드시 인증 토큰, WAF, 속도 제한(Rate Limiting)을 적용하고 정기적인 API 보안 감사를 실시해야 한다. 유출된 개인정보를 악용한 표적형 피싱·스미싱 공격이 뒤따를 수 있으므로 고객 대상 보안 공지가 시급하다.

본문

CenterPoint Energy는 해커가 수백만 건의 고객 레코드를 탈취했다는 온라인 주장이 제기된 후, 외부 시스템 중 하나를 통해 인가받지 않은 제3자가 고객 데이터에 접근했음을 공개했다.

CenterPoint Energy는 휴스턴에 본사를 둔 공공 에너지 기업으로 전기 및 천연가스 서비스를 제공한다. 인디애나, 미네소타, 오하이오, 텍사스주에 걸쳐 약 700만 명의 고객에게 서비스를 공급하고 있다.

'4d722e4d656f77'이라는 가명을 사용하는 해커는 웹 애플리케이션 방화벽도, 속도 제한도, 인증서 확인도, 인증 토큰도 없는 API를 통해 CenterPoint 고객 데이터 749만 건을 수집했다고 주장했다.

위협 행위자는 데이터를 JSONL 형식으로 수집한 뒤 개인정보를 그대로 보존한 CSV 파일로 필터링했다고 적었다. 해당 게시물은 CenterPoint 규모의 기업이 이처럼 취약한 보호 체계를 갖추고 있다는 점을 "웃기다"고 표현하며, CAPTCHA로 인해 다운로드가 749만 건에서 중단됐다고 언급했다. 해당 조치가 없었다면 "1,744만 건을 모두 가져갔을 것"이라고도 덧붙였다.

유출된 항목으로는 고객 이름, 전화번호, 서비스 주소 및 청구 주소, 계좌번호, 구내 ID(Premise ID), 청구 금액, 납부 기한, 자동이체 및 종이 없는 청구서 상태, 요금 등급, 이메일 주소, 운전면허 번호, 사회보장번호(SSN) 끝 4자리가 포함된다.

9월 14일 제출된 SEC Form 8-K에서 CenterPoint는 고객 정보가 담긴 데이터셋을 보유하고 있다고 주장하는 제3자의 온라인 게시물을 인지하게 됐음을 확인했다.

회사는 침해 범위를 파악하기 위해 외부 전문가와 협력을 지속하고 있으며, "관련 법령이 요구하는 바에 따라 피해 고객과 규제 당국에 통지할 예정"이라고 밝혔다.

"전기 및 가스 서비스 공급에는 영향이 없으며 정상적으로 운영 중입니다. 이 보고서 제출일 현재, 회사는 재무 상태 또는 영업 결과에 중대한 영향이 발생할 가능성이 합리적으로 높다고 판단하지 않습니다." — SEC 공시 내용 중.

현지 언론에 따르면 CenterPoint Energy는 이번 데이터 침해와 관련해 여러 주의 고객들로부터 집단 소송을 제기받고 있다.