休斯敦公用事业公司 CenterPoint Energy 在 9 月 14 日提交美国证券交易委员会（SEC）的文件中确认，未经授权的第三方通过其一个对外系统获取了部分客户的个人信息。一名使用别名 4d722e4d656f77 的威胁行为者声称窃取 749 万条客户记录，并称入口是一个缺乏限流与 Web 应用防火墙保护的公开 API。
事件概述
- 披露时间：2026 年 9 月 14 日 SEC 文件；威胁行为者随后泄露数据。
- 企业规模：CenterPoint 为休斯敦地区主要电力与天然气供应商，服务用户数以百万计。
- 确认范围：公司确认客户信息经对外系统被第三方获取，但未公布受影响人数，也未确认具体字段。
- 服务状态：公司称电力和天然气服务在事件期间运行正常，预计不会对财务状况产生重大影响。
技术细节
攻击者向安全媒体提供的说法是，其通过一个公开的 CenterPoint API 反复遍历数百万个客户 ID，从而批量拉取记录。按其描述，该 API 缺乏有效的限流措施，也没有能阻断大规模自动化请求的 WAF 防护。CenterPoint 的 SEC 文件只确认信息经由对外系统被获取，没有确认这一技术路径，因此 API 滥用应被视为攻击者单方陈述。
攻击者声称的记录字段包括姓名、电话、服务与账单地址、CenterPoint 账户号码、账单金额以及部分社保号。公司尚未独立核实记录数量与字段清单。需要提醒的是，749 万条记录不等于 749 万个人——同一人或同一家庭可能对应多条记录。
影响评估
- 公用事业账户信息天然适合用于高可信度冒充：来电者只要报出姓名、服务地址与账户号码，就极易让用户相信其身份，从而诱导付款或进一步泄露信息。
- 部分社保号可以与其他泄露数据集拼接，用于身份盗用。
- 关键基础设施领域的数据泄露还会放大监管与舆情压力，客户对公用事业的信任成本高于普通商业机构。
- 同类风险已有先例：公开 API 不做对象级授权校验，仅凭 ID 遍历即可越权读取他人数据，是近两年多起大规模泄露的共同成因。
修复建议
- 企业侧：对面向互联网的 API 实施强制限流、按账号与 IP 的配额、异常枚举行为检测，并在 API 网关层做对象级授权校验，避免仅凭 ID 遍历即可读取他人数据。
- 检测规则：单 IP 或单会话在短时间内连续访问资源 ID、返回 200 比例异常高的批量请求、非业务时段的高频 API 调用。
- 客户侧：警惕声称来自公用事业的催缴与账户核验类来电、短信与邮件，通过官网或账单上的官方号码自行核实。
- 若通知涉及社保号，建议监控信用报告，评估冻结信用与启用关键账户的双因素认证。