Southern Company indique qu’une partie non autorisée a accédé à des informations limitées sur les comptes clients via son portail client en ligne, affectant environ 400 000 comptes de services publics au sein de ses filiales d’électricité.
L’entreprise énergétique basée à Atlanta, qui fournit des services d’électricité et de gaz naturel à plus de 9 millions de clients, a déclaré que les comptes concernés incluent des clients de Georgia Power, Alabama Power et Mississippi Power. Environ 300 000 des comptes affectés sont associés à Georgia Power, tandis qu’environ 100 000 appartiennent à des clients d’Alabama Power. L’entreprise n’a pas fourni de chiffre précis pour les comptes Mississippi Power.
Informations concernées
Selon l’avis public de Southern Company, les informations auxquelles il a pu être accédé peuvent inclure les noms des clients, leurs adresses postales, numéros de téléphone, adresses e-mail, les quatre derniers chiffres de leurs numéros de sécurité sociale, ainsi que des informations de base sur leurs comptes de services publics.
L’entreprise a déclaré que son enquête n’avait trouvé aucun élément indiquant que des numéros de comptes bancaires, des informations de cartes de paiement ou des numéros de permis de conduire avaient été consultés.
Réponse et notifications aux clients
Southern Company a déclaré avoir agi pour mettre fin à l’activité après l’avoir détectée et avoir impliqué les forces de l’ordre. L’entreprise n’a pas indiqué quand l’intrusion s’est produite, combien de temps l’accès a pu durer ni la méthode utilisée pour pénétrer le portail client.
Les clients concernés sont informés par courrier et par e-mail. Southern Company offre également un an de services gratuits de surveillance du crédit aux personnes éligibles.
Risques potentiels
Bien que l’ensemble de données signalé ne contienne pas les informations complètes de cartes de paiement ou de comptes bancaires, les coordonnées et les numéros de sécurité sociale partiels peuvent néanmoins être utiles dans le cadre d’attaques de phishing ciblées, d’usurpations d’identité et d’arnaques à la récupération de comptes. Les clients recevant des notifications devraient vérifier de manière indépendante les communications provenant du fournisseur de services publics, rester vigilants face aux demandes non sollicitées d’informations sur leur compte et envisager de surveiller leurs rapports de crédit ainsi que l’activité de leurs comptes de services publics.