能源業者對外 API 遭濫用，攻擊者宣稱竊得 749 萬筆客戶資料

新聞 發布日期

原始來源： CM-Alliance · 2026/09/16

美國 CenterPoint Energy 確認未經授權的第三方透過對外 API 取得部分客戶個資；攻擊者宣稱取得約 749 萬筆紀錄，內容包含社會安全碼與帳務資料。

API 節點圖與外流資料封包示意圖

發生了什麼

CenterPoint Energy 於 9 月 16 日確認，未經授權的第三方透過對外 API 取得部分客戶的個人資料。外洩欄位包含姓名、社會安全碼、電話、服務與帳單地址、帳號及帳單金額；攻擊者宣稱取得約 749 萬筆客戶紀錄。

為什麼重要

這類事件的共同點是：API 本身「照設計運作」，問題出在授權檢查不足或缺乏流量異常偵測，攻擊者可以合法格式的請求大量拉取資料。WAF 只比對已知攻擊特徵，往往看不出這種行為。

建議行動

先盤點實際對外開放的 API 與回傳欄位，確認是否回傳超出必要的個資；針對同一來源的大量查詢設定行為基準與告警；把 API 存取紀錄納入 SIEM，讓異常拉取能在數小時內而非數週後被發現。