Apa yang berlaku
Southern Company, antara syarikat tenaga terbesar di Amerika Syarikat (lebih 9 juta pelanggan, pemilik Georgia Power, Alabama Power dan Mississippi Power), sedang memaklumkan kira-kira 400,000 pelanggan bahawa pihak ketiga tanpa kebenaran telah mengakses maklumat akaun mereka melalui portal pelanggan dalam talian.
- Kira-kira 300,000 akaun milik Georgia Power (daripada 2.8 juta pelanggan).
- Kira-kira 100,000 milik Alabama Power (daripada 1.6 juta).
Georgia Power mula memaklumkan pelanggan pada 5 Oktober 2026; menurut AJC, portal itu diserang pada minggu sebelumnya.
Data yang terdedah
Menurut notis syarikat, penyerang mengakses maklumat "terhad": nama, alamat surat-menyurat, nombor telefon, e-mel, empat digit terakhir Nombor Keselamatan Sosial (SSN) dan butiran asas akaun lain.
Nombor akaun bank, nombor kad pembayaran dan nombor lesen memandu tidak diakses.
Tindak balas
- Aktiviti dihentikan sebaik dikesan dan pihak penguat kuasa undang-undang dimaklumkan.
- Syarikat berkata ia tidak menemui akses tanpa kebenaran yang berterusan.
- Mereka yang terjejas dimaklumkan melalui e-mel dan pos serta ditawarkan pemantauan kredit percuma selama setahun (melalui Equifax bagi Georgia Power).
- Syarikat tidak menyatakan bagaimana penyerang masuk atau siapa mereka.
Mengapa ia penting
Tiada siapa menyentuh grid elektrik, tetapi kes ini menunjukkan portal pelanggan perkhidmatan penting ialah sasaran bernilai. Dengan nama, alamat, telefon, e-mel dan sebahagian SSN, penipu boleh menghasilkan phishing yang sangat meyakinkan, seperti bil elektrik palsu yang mengugut pemotongan bekalan, penipuan yang sudah biasa di AS.
Portal pelanggan sering diserang melalui credential stuffing (kata laluan bocor dari laman lain) atau kelemahan kebenaran dalam aplikasi. Syarikat belum mengesahkan yang mana berlaku di sini.
Apa yang perlu pelanggan lakukan
- Berwaspada dengan mesej tentang pemotongan bekalan atau bayaran segera; sentiasa sahkan melalui nombor rasmi.
- Tukar kata laluan portal dan jangan gunakan semula di laman lain.
- Aktifkan pengesahan dua langkah jika ada dan gunakan pemantauan kredit.
Pengajaran untuk perniagaan
- Lindungi portal dengan MFA, had cubaan dan pengesanan log masuk luar biasa.
- Uji kawalan akses dalam API (seorang pengguna tidak boleh melihat data orang lain).
- Tunjukkan kepada pelanggan hanya yang perlu: digit SSN jarang perlu dipaparkan dalam portal.
Sumber
- SecurityWeek (7/10/2026): https://www.securityweek.com/georgia-power-alabama-power-data-breach-hits-400000-accounts/
- AJC (6 Okt 2026): https://www.ajc.com/business/2026/10/georgia-power-data-breach/
- FOX 5 Atlanta (5/10/2026): https://www.fox5atlanta.com/news/georgia-power-notifies-300k-customers-about-suspicious-online-activity
Mahu melindungi portal pelanggan syarikat anda daripada pencerobohan? KGA IT menawarkan konsultasi percuma: kga-it.com.