สรุปสั้น

บริษัท Southern Company ผู้ถือหุ้นกิจการพลังงานในเมืองแอตแลนตา สหรัฐฯ กำลังแจ้งลูกค้าราว 400,000 รายว่าข้อมูลบัญชีค่าสาธารณูปโภคถูกบุคคลที่ไม่ได้รับอนุญาตเข้าถึงผ่านพอร์ทัลลูกค้าออนไลน์ บริษัทให้บริการลูกค้ากว่า 9 ล้านรายผ่านกิจการไฟฟ้าใน 3 รัฐ และกิจการจำหน่ายก๊าซธรรมชาติใน 4 รัฐ บริษัทลูกด้านไฟฟ้าคือ Georgia Power, Alabama Power และ Mississippi Power ในจำนวนบัญชีที่ได้รับผลกระทบ ราว 300,000 บัญชีเป็นของลูกค้า Georgia Power และราว 100,000 บัญชีเป็นของ Alabama Power จากทั้งหมด 1.6 ล้านบัญชี ส่วน Mississippi Power ถูกระบุชื่อในประกาศว่าได้รับผลกระทบ แต่ยังไม่มีตัวเลข

ข้อมูลที่ถูกเข้าถึงได้แก่ ชื่อ ที่อยู่ไปรษณีย์ เบอร์โทรศัพท์ อีเมล หรือเลขประกันสังคม 4 หลักท้าย และรายละเอียดพื้นฐานของบัญชี บริษัทยืนยันว่าผู้โจมตีไม่ได้เข้าถึงเลขบัญชีธนาคาร เลขบัตรชำระเงิน และเลขใบขับขี่ ลูกค้าที่ได้รับผลกระทบจะได้รับแจ้งทางไปรษณีย์และอีเมล พร้อมบริการเฝ้าระวังเครดิตฟรี 1 ปี แต่ Southern Company ยังไม่เปิดเผยว่าการบุกรุกเกิดขึ้นเมื่อใด และผู้โจมตีเข้าถึงพอร์ทัลด้วยวิธีใด

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 7 ตุลาคม พ.ศ. 2569 ว่า Southern Company ส่งแถลงการณ์ถึงสื่อว่า “บุคคลที่สามที่ไม่ได้รับอนุญาตเข้าถึงข้อมูลบางส่วนที่จำกัดเกี่ยวกับบัญชีของลูกค้าประมาณ 400,000 ราย เมื่อตรวจพบ เราดำเนินการหยุดกิจกรรมดังกล่าวทันทีและได้ประสานหน่วยงานบังคับใช้กฎหมายแล้ว”

ประกาศสาธารณะของบริษัทระบุประเภทข้อมูลว่า “จากการสอบสวนจนถึงขณะนี้ ข้อมูลบัญชีลูกค้าที่จำกัดซึ่งบุคคลที่ไม่ได้รับอนุญาตเข้าถึงได้ ประกอบด้วยชื่อ ที่อยู่ไปรษณีย์ เบอร์โทรศัพท์ อีเมล หรือเลขประกันสังคม 4 หลักท้ายของลูกค้า และรายละเอียดพื้นฐานอื่นของบัญชี” คำว่า “จากการสอบสวนจนถึงขณะนี้” บอกว่านี่เป็นการประเมินเบื้องต้นที่อาจเปลี่ยนได้

ข้อจำกัดของข้อมูลคือ บริษัทไม่ได้บอกว่าผู้โจมตีใช้บัญชีลูกค้าที่ถูกขโมยรหัสผ่าน (credential stuffing) ใช้ช่องโหว่ของพอร์ทัล หรือเข้าผ่านบัญชีพนักงานหรือผู้ให้บริการภายนอก ไม่บอกว่าเหตุเกิดนานเท่าใดก่อนตรวจพบ และยังไม่มีตัวเลขลูกค้า Mississippi Power รวมทั้งยังไม่มีกลุ่มใดอ้างความรับผิดชอบ

วิธีการโจมตี

สิ่งเดียวที่ยืนยันได้คือช่องทางที่ถูกใช้คือพอร์ทัลลูกค้าออนไลน์ ไม่ใช่ระบบควบคุมการผลิตหรือจ่ายไฟ และขอบเขตข้อมูลที่ถูกเข้าถึงตรงกับข้อมูลที่แสดงในหน้าบัญชีลูกค้า รูปแบบนี้เข้ากันได้กับการดึงข้อมูลผ่านฟังก์ชันของพอร์ทัลเองเป็นจำนวนมาก แต่บริษัทยังไม่ได้ยืนยันกลไกที่แท้จริง

ผลกระทบ

แม้ข้อมูลที่หลุดจะไม่รวมข้อมูลการเงิน แต่ชุดข้อมูลชื่อ ที่อยู่ เบอร์โทร อีเมล และเลขประกันสังคม 4 หลักท้ายของลูกค้าการไฟฟ้า เพียงพอสำหรับฟิชชิงและการหลอกลวงทางโทรศัพท์ที่แอบอ้างเป็นการไฟฟ้า เช่น การขู่ตัดไฟหากไม่ชำระเงินทันที ซึ่งเป็นกลโกงที่พบบ่อยอยู่แล้ว เลข 4 หลักท้ายยังมักถูกใช้เป็นคำถามยืนยันตัวตนกับศูนย์บริการของหลายบริษัท จึงช่วยให้ผู้โจมตีสวมรอยลูกค้าได้ง่ายขึ้น

ในมุมโครงสร้างพื้นฐานสำคัญ เหตุนี้แสดงว่าระบบฝั่งไอทีที่หันหน้าสู่ลูกค้าของกิจการพลังงานเป็นเป้าที่เข้าถึงได้ง่ายกว่าระบบควบคุมการผลิตมาก แต่ยังมีข้อมูลของคนจำนวนมาก พอร์ทัลที่เปิดให้ลูกค้าหลายล้านรายเข้าใช้ต้องมีการป้องกันการดึงข้อมูลเป็นจำนวนมากเหมือนระบบสำคัญอื่น

คำแนะนำ

  • ลูกค้าที่ได้รับผลกระทบควรระวังการโทร SMS หรืออีเมลที่อ้างเป็นการไฟฟ้าและเร่งให้ชำระเงิน และตรวจสอบผ่านช่องทางทางการของบริษัทเท่านั้น
  • องค์กรที่มีพอร์ทัลลูกค้าควรบังคับ MFA ตรวจจับ credential stuffing และจำกัดอัตราการเรียกดูข้อมูลบัญชีต่อเซสชันหรือต่อ IP
  • เฝ้าระวังรูปแบบการเข้าถึงที่ผิดปกติ เช่น บัญชีเดียวเรียกดูข้อมูลบัญชีอื่นจำนวนมาก หรือการเรียก API ของพอร์ทัลเร็วกว่ามนุษย์
  • ลดข้อมูลที่แสดงในพอร์ทัลให้เหลือเท่าที่จำเป็น เช่น ซ่อนเลขประกันสังคมทั้งหมดถ้าไม่จำเป็นต้องแสดง
  • เลิกใช้เลขประกันสังคม 4 หลักท้ายหรือข้อมูลที่หลุดได้ง่ายเป็นปัจจัยยืนยันตัวตนกับศูนย์บริการลูกค้า

แหล่งอ้างอิง