O que aconteceu
A Southern Company, uma das maiores empresas de energia dos Estados Unidos (mais de 9 milhões de clientes, dona da Georgia Power, Alabama Power e Mississippi Power), está notificando cerca de 400 mil clientes de que um terceiro não autorizado acessou informações de suas contas pelo portal online de clientes.
- Cerca de 300 mil contas são da Georgia Power (de 2,8 milhões de clientes).
- Cerca de 100 mil são da Alabama Power (de 1,6 milhão).
A Georgia Power começou a avisar os clientes em 5 de outubro de 2026; segundo o jornal AJC, o ataque ao portal ocorreu na semana anterior.
Quais dados foram expostos
Segundo o aviso da empresa, o invasor teve acesso a informações "limitadas": nome, endereço, telefone, e-mail, os quatro últimos dígitos do número de Seguridade Social (SSN) e outros dados básicos da conta.
Não foram acessados números de conta bancária, de cartão de pagamento nem de carteira de motorista.
Resposta
- A atividade foi interrompida ao ser detectada e a polícia foi acionada.
- A empresa diz não ter encontrado acesso não autorizado em andamento.
- Os afetados recebem aviso por e-mail e correio e um ano de monitoramento de crédito gratuito (Equifax, no caso da Georgia Power).
- A empresa não informou como o invasor entrou nem quem é.
Por que importa
Ninguém mexeu na rede elétrica, mas o caso mostra que portais de clientes de serviços essenciais são um alvo valioso. Com nome, endereço, telefone, e-mail e parte do SSN, golpistas podem montar phishing muito convincente, como falsas cobranças de conta de luz com ameaça de corte, um golpe já comum nos EUA.
Portais de clientes costumam ser atacados por credential stuffing (senhas vazadas de outros sites) ou por falhas de autorização na aplicação. A empresa não confirmou qual foi o caso aqui.
O que os clientes devem fazer
- Desconfie de mensagens sobre corte de energia ou pagamento urgente; confirme sempre pelo número oficial.
- Troque a senha do portal e não a reutilize em outros sites.
- Ative a verificação em duas etapas, se disponível, e aproveite o monitoramento de crédito.
Lição para empresas
- Proteja portais com MFA, limite de tentativas e detecção de logins anômalos.
- Teste controle de acesso na API (um usuário não deve ver dados de outro).
- Mostre ao cliente só o necessário: dígitos de SSN raramente precisam estar visíveis no portal.
Fontes
- SecurityWeek (7/10/2026): https://www.securityweek.com/georgia-power-alabama-power-data-breach-hits-400000-accounts/
- AJC (6/10/2026): https://www.ajc.com/business/2026/10/georgia-power-data-breach/
- FOX 5 Atlanta (5/10/2026): https://www.fox5atlanta.com/news/georgia-power-notifies-300k-customers-about-suspicious-online-activity
Quer proteger o portal de clientes da sua empresa contra invasões? A KGA IT oferece uma consulta gratuita: kga-it.com.