サザン・カンパニーの情報漏洩、数えているのは社自身だけ――約40万件、日時も原因も非公表

サザン・カンパニー·+1.44% — サザン・カンパニー, up 1.44 percent as of its last quoteは、インターネット経由でアクセスできるシステムから顧客データが流出した米電力大手として、1か月で2社目↗となった⁷。この漏洩を示す唯一の数値は、サザン自身が示したものだ。オンラインの顧客ポータルを通じて約40万件の顧客アカウントにアクセスがあった↗¹²とする。同社は侵入がいつ起きたのか、どう起きたのかも説明していない¹。該当する顧客への通知は今週、米郵便と電子メールで発送されている¹²。漏洩が財務にまで及ぶかどうか、最初の試金石は11月5日だ⁵。

侵入経路は顧客ポータル、電力網ではない

アトランタに本社を置き、ジョージア・パワー、アラバマ・パワー、ミシシッピ・パワーを傘下に持つサザンは10月5日、第三者が許可なく限定的なアカウント情報にアクセスしたと発表した。対象は氏名、住所、電話番号、メールアドレスのほか、社会保障番号と法人税番号の下4桁¹。銀行口座、決済カード、運転免許証の各番号は触られていないとし、被害に遭った顧客には1年間の無料信用情報監視サービスを提供する²。

対象のアカウントのうち約30万件は、顧客数280万人のジョージア・パワーに集中する²³。さらに10万件がアラバマ・パワーで、ミシシッピ・パワーも被害を受けた会社に名を連ねているが、件数は公表されていない¹。センターポイント・エナジーも9月、米証券取引委員会(SEC)への届け出で自社の情報漏洩を明らかにした。こちらも外部公開のシステム経由だった⁷。

件数を支えるのは社の説明だけ

全米で集団訴訟を手がける法律事務所Edelson Lechtzinが10月9日に調査に着手↗し、同じく集団訴訟を扱う法律事務所Ademi LLPが10月14日にこれに続いた↗¹⁴。Ademiの公表資料は、漏洩した可能性のある情報として金融口座や決済カードのデータを挙げている。サザンはこれらの情報にはアクセスされていないと説明する⁴²。何が主張され、何が開示されたか。その隔たりこそ、この種の訴訟の争点になる。

センターポイント・エナジーでは、テキサス州司法長官が影響を受けた州民を106万2060人と数え、同社がいまだ通知を済ませていないと報告している⁷。サザンでは、10月5日の発表以降、規制当局による件数は出ていない。アトランタ・ジャーナル・コンスティテューション紙はポータルへの侵入が公表の前の週に起きたと伝えた↗が、同社はこれを確認していない³¹。

財務影響の有無を決めるのは11月5日

今四半期はすでにハリケーン・アイザイアスを抱えている。サザン傘下の電力会社は10月10日までに約42万件の停電を復旧したが、約8万件が未復旧のまま残る⁵。アナリストは1株当たり利益を1.65ドルと見込む。前年同期は1.60ドルだった⁵。売上高コンセンサスは82.6億ドル。前年同期は78.2億ドルだった⁵。

時価総額約1000億ドル⁵の企業にとって、信用情報監視サービスと法的防御は小さな出費だ。ただ、規制下の電力会社では、こうした費用は料金を決める州の規制委員会の俎上に載る。本件で損害額よりも開示が問題になるのはそのためだ。バンク・オブ・アメリカ(BofA)とJPモルガンは10月13日、目標株価を引き下げ↗⁵。KeyBancのアナリスト、ソフィー・カープ氏は「売り」評価で目標株価74ドルを維持しており、目標株価がいまだ90ドル台に集まる中で際立った例外となっている⁵⁶。

社内を見ると、インサイダー(社内関係者)の心理はネガティブだ。過去3カ月間に51人の社内関係者が売り越しに回った↗⁶。コントローラーのマシュー・M・キム氏は先月、1400株を12万4418ドルで売却した⁶。

流出被害を自ら数え、発生時期は明かさない――そんな企業が、40万人の顧客と2つの法律事務所、州の規制当局に「自社の計算を信じてほしい」と迫る。その信頼がどれだけのコストを伴うのか、最初の検証の場が11月5日だ。