何が起きたか
米国最大級のエネルギー企業 サザン・カンパニー(顧客900万以上、ジョージア・パワー、アラバマ・パワー、ミシシッピ・パワーを傘下に持つ)は、第三者が顧客向けオンラインポータルを通じてアカウント情報に不正アクセスした として、約 40万人の顧客 に通知を進めています。
- 約 30万 件が ジョージア・パワー(顧客280万)のアカウント
- 約 10万 件が アラバマ・パワー(顧客160万)のアカウント
ジョージア・パワーは 2026年10月5日 に顧客への通知を始めました。地元紙 AJC によると、ポータルへの攻撃はその前週に起きました。
露出したデータ
同社の通知によると、攻撃者がアクセスしたのは「限定的な」情報で、氏名、住所、電話番号、メールアドレス、社会保障番号(SSN)の下4桁、その他の基本的なアカウント情報です。
銀行口座番号、決済カード番号、運転免許証番号へのアクセスは ありません でした。
対応
- 検知と同時に活動を止め、法執行機関に連絡
- 現在も続く不正アクセスは確認されていない としている
- 対象者には メールと郵便 で通知し、1年間の無料信用モニタリング を提供(ジョージア・パワーは Equifax)
- 侵入方法や攻撃者については 公表していない
なぜ重要か
電力網そのものは無事でしたが、生活インフラ企業の顧客ポータル が価値の高い標的であることを示しています。氏名、住所、電話、メール、SSN の一部があれば、「未払いで送電を止める」という偽の電気料金請求のような、非常に信ぴょう性の高いフィッシング を作れます。米国ではすでによくある詐欺です。
顧客ポータルは、他サイトから漏れたパスワードを使う クレデンシャルスタッフィング や、アプリの認可の不備で狙われることが多いですが、今回どちらだったかは確認されていません。
利用者がすべきこと
- 送電停止や至急の支払い を求めるメッセージを疑い、必ず公式の番号で確認する
- ポータルのパスワードを変更し、他サイトで 使い回さない
- 可能なら二段階認証を有効にし、信用モニタリングを利用する
企業への教訓
- ポータルを MFA、試行回数の制限、不審なログインの検知で守る
- API の アクセス制御 をテストする(他人のデータが見えてはならない)
- 顧客に表示するのは 必要最小限 に。SSN の数字をポータルで見せる必要はほとんどない
出典
- SecurityWeek (7/10/2026): https://www.securityweek.com/georgia-power-alabama-power-data-breach-hits-400000-accounts/
- AJC(2026年10月6日): https://www.ajc.com/business/2026/10/georgia-power-data-breach/
- FOX 5 Atlanta (5/10/2026): https://www.fox5atlanta.com/news/georgia-power-notifies-300k-customers-about-suspicious-online-activity
自社の顧客ポータルを不正侵入から守りたいですか?KGA IT は無料相談を受け付けています:kga-it.com