美国南方电力旗下Georgia Power与Alabama Power约40万客户账户经在线门户被未授权访问：含姓名、联系方式与社保号后四位，公司提供一年信用监测

美国南方电力公司（Southern Company）确认，其在线客户门户遭未授权第三方访问，约40万个电力客户账户的有限信息被读取，涉及旗下Georgia Power、Alabama Power与Mississippi Power。据当地媒体援引公司口径，其中约30万个账户属于Georgia Power，约10万个属于Alabama Power。

被访问的信息包括客户姓名、邮寄地址、电话号码、电子邮箱、社保号或企业税号的后四位，以及其他基本账户信息。公司称银行账号、完整支付卡号与驾照号码未被涉及，并已立即采取措施阻断该活动、联系执法机关；目前无证据表明存在持续的未授权访问。受影响客户已通过信函与电子邮件收到通知，公司提供为期一年、由Equifax提供支持的信用监测与身份盗用恢复服务。

公司未披露事件发生时间与入侵路径，也未说明是否涉及被盗客户口令、内部人员账号或其他途径，尚无组织对外宣称负责。有媒体报道称事件可能发生于2026年9月，但该时间未出现在公司正式通知中，仍待确认；方法层面的空白是本案最大的信息缺口。

本案的合规要点有二：其一，公用事业在线门户持有大规模人口数据且主要依赖用户名与口令防护，易成为撞库与自动化访问的目标，应对自动化访问设置限速、行为基线与异常检测，并把“谁在什么时间从哪里访问了多少账户”作为可观测指标——这与本库10月7日丹麦CPR事件提炼的“监测机制错配”框架一致；其二，姓名、地址、邮箱加社保号后四位虽属“有限”信息，却足以支撑冒充公用事业公司的话术式诈骗，属于典型社会工程风险面，通知延迟与成因披露不足亦可能成为后续集体诉讼与州检察长问询的争点。