Datainnbrudd hos Origin Energy eksponerer kundeinformasjon

Origin Energy har bekreftet et datainnbrudd som innebar uautorisert tilgang til kundeinformasjon.

Den australske energileverandøren undersøker hvor mange personer som er berørt og kontakter bekreftede ofre direkte. Origin Energy har rundt 4,8 millioner kunder innen strøm, naturgass og bredbånd.

Kundeopplysninger kan ha blitt eksponert

Origin opplyser at hendelsen kan ha eksponert personlig identifiserbar informasjon om kunder.

De potensielt berørte opplysningene omfatter:

• Fullstendige navn
• Fysiske adresser
• Fødselsdatoer
• Telefonnummer
• Kontoinformasjon
• De fire siste sifrene på betalingskort
• De tre siste sifrene i bankkontonumre

Selskapet understreker at den eksponerte finansielle informasjonen er ufullstendig. Ifølge Origin kan de delvise opplysningene ikke brukes alene til å overta kundekontoer eller gjennomføre uautoriserte banktransaksjoner.

Administrerende direktør Frank Calabria ba kundene om unnskyldning og sa at selskapet iverksetter tiltak for å forhindre ytterligere uautorisert tilgang.

Origin kontakter berørte kunder

Origin kunngjorde først at selskapet undersøkte en mulig sikkerhetshendelse. I en senere oppdatering bekreftet selskapet datainnbruddet.

Selskapet opplyser at det vil varsle berørte kunder individuelt og tilby støtte gjennom en egen portal og tilhørende ressurser.

Hendelsen er også meldt til Australian Federal Police, Australian Cyber Security Centre og Office of the Australian Information Commissioner. Origin opplyser at selskapet vil fortsette å samarbeide med relevante myndigheter under etterforskningen.

Origin Energy er Australias største energileverandør. Selskapet er børsnotert på den australske børsen, har en årlig omsetning på rundt 8,5 milliarder dollar og eier en eierandel på 20 prosent i den britiske leverandøren av fornybar energi Octopus.

Trusselaktør hevder å ha data om to millioner kunder

Før Origin publiserte sin andre uttalelse, skal en person som identifiserte seg som «John Doe» ha kontaktet lokale medier og tatt på seg ansvaret for datainnbruddet.

Trusselaktøren hevdet å være i besittelse av personopplysninger om to millioner Origin-kunder. Vedkommende påsto også å ha kontaktet sikkerhetsteam, kundeservice og styremedlemmer uten å ha mottatt noe svar.

Personen opprettet angivelig også et nettsted der det ble truet med å publisere de stjålne opplysningene innen to uker dersom Origin ikke tok kontakt via Signal for å forhandle.

Origin har ikke bekreftet angriperens påstand om at data om to millioner kunder er stjålet. Etterforskningen pågår fortsatt.