最近，我为安装电动汽车（EV）充电桩申请返利，却发现我的电力供应商 Eversource 竟在公开泄露申请客户的个人信息，包括：

• 全名
• 车辆登记证书（包括车牌号和车辆识别代号）
• 家庭住址
• 电子邮件地址
• 电话号码

我会在后文交代发现该漏洞的来龙去脉，但如果您只想了解安全漏洞本身，可以跳至该部分。

为什么返利流程这么复杂？

我住在马萨诸塞州，州政府有一个名为 Mass Save 的项目，你在电费账单中缴纳一笔税款，这笔钱用于资助可持续能源计划。例如，如果你为房屋做保温以提高能效，Mass Save 会补贴相关费用。

我最近为自己的电动汽车安装了充电桩，发现 Mass Save 会为此报销700 美元的安装费。太好了！

Eversource 是我的电力公司，所以我必须通过它来申请返利。我上网申请返利，本以为 10 分钟就能搞定，结果光是填那些没完没了的表格就花了一个多小时。

首先，他们要我提供姓名、地址和 Eversource 账号。这些信息 Eversource 本来就有，再要一遍显得多余，但也算了。

随着表格的推进，他们开始问更多不相关的问题，比如：

• 我拥有的电动汽车是什么型号？
• 在哪里购买的？
• 花了多少钱？
• 车辆登记证在哪里？
• 是谁安装了我的 EV 充电桩？
• 我的电工地址是什么？
• 充电桩具体安装在我房子的哪个位置？

确认我买了 EV 充电桩需要这些信息吗？整个流程远比 Eversource 宣传的“四步返利流程”复杂得多。

我们需要你充电桩的 MAC 地址

在返利申请中，Eversource 索要的最离谱的信息是 EV 充电桩的MAC 地址。什么？

MAC 地址是 EV 充电桩上 WiFi 芯片的唯一标识符。它并没有印在设备上，那我该怎么获取？

我是一名软件开发者，也是一名家庭网络爱好者，所以我能在路由器的管理后台找到 EV 充电桩的 MAC 地址，但我不知道他们指望普通人怎么做到这一点。

不对，重做一遍

提交所有文件一周后，我收到了 Eversource 的这封邮件：

显然，我的申请表填错了。

Eversource 不喜欢我上传的电工发票，理由是上面没有标注“已全额付清”。任何承包商在收款后给我一张标注“已全额付清”的发票都是很少见的，所以我不得不去打扰忙碌的电工，让他重新开具发票。

是表格里漏掉了这个要求吗？没有，我回到门户网站查看了他们对发票的要求。上面只写着“布线升级的承包商发票”。完全没有提到“已全额付清”。

那我的照片又有什么问题？是我忘了上传充电桩的照片吗？

不，我的申请里有那张照片。充电桩清晰可见。序列号的照片也清楚可辨。难道他们以为我能拍到 MAC 地址？

我发邮件询问照片哪里出了问题，并解释说我不可能拍到 MAC 地址。

一周后我收到了回复。他们没有解释为什么驳回我的其他照片，但告诉我要在 EV 充电桩的手机应用中找到 MAC 地址并截图。好吧……

Eversource EV 返利计划的反常激励

Eversource 的返利计划有些不对劲。每一步似乎都在用不必要的文书工作和细微的陷阱来刁难我。

难道马萨诸塞州有什么猫腻？Eversource 是否能留住那些没有发放出去的返利资金？

我致电负责监管 EV 返利计划的 Massachusetts Department of Utilities（DPU），询问到底是怎么回事。为什么 Eversource 把申请返利搞得这么难？

DPU 的工作人员说，她听说过 Eversource 驳回照片后，在申诉时又用完全相同的照片予以通过的投诉。听起来 Eversource 似乎是用自动化系统来评估照片，而二次审核要么更准确，要么更可能是由真人来查看照片。

那么，Eversource 在这些情况下就直接私吞返利了吗？DPU 的代表说：“不会。”如果返利申请失败，Eversource 不会留下任何钱。而且即使申请成功，Eversource 也只是先行垫付返利，再向州政府申请报销。

等等，如果 Eversource 只是经手这笔钱，他们为什么还要运营这个项目？

DPU 的代表解释说，Eversource 希望人们购买 EV。如果马萨诸塞州居民拥有 EV，他们的支出就会从 Eversource 并不销售的汽油，转向 Eversource 在许多城市拥有独家销售权的电力。

然后我就明白了：Eversource 并不希望客户的返利申请失败；他们只是根本不在乎这些申请。

等到客户向 Eversource 申请返利时，客户已经买了 EV。客户在未来数年内都只能向 Eversource 额外购买电力。到了那一步，Eversource 已经从客户身上得到了想要的一切，而客户则没有筹码让 Eversource 履行承诺。

我问 Massachusetts DPU 的代表，他们是否会统计申请 EV 充电返利的人数与实际完成申请的人数。Eversource 只会向 DPU 报告有多少人完成了流程。即使 Eversource 驳回了 99% 的返利申请人，DPU 也无从得知。

Eversource 泄露客户记录

当我回到 Eversource 返利门户提交他们要求的信息时，我在想：如果 Eversource 在 EV 返利流程的每个环节都尽可能压缩投入，他们在安全上投入了多少呢？

不幸的是，答案是没有。我只花了不到两分钟，就在 Eversource 返利门户上发现了一个严重的安全漏洞。

作为对网站安全性的基本检查，我打开了浏览器的网络控制台，检查浏览器与返利门户之间的原始通信。浏览器向返利服务器发出了数十个请求，但其中一个特别引起了我的注意。

对网址 https://eversource.dsmcentral.com/traksmart4/public/guest/commercial/v2/application.json?projectId=123456 的请求返回了大量看起来像这样的数据：

[  {    "fieldId": "FORM-60-102189-108632-4094090-2-Task_Instances_Attributes-2354-CustomerPrintedName",    "label": "Rebate Payee Printed Name",    "value": "Michael Lynch",    "displayValue": null,    "templateParameters": null,    "attributeName": "CustomerPrintedName",    "uniqueFieldIdSource": "",    "inventoryOptions": null,    "dynamicOptions": null,    "rendering": "textField",    "formatter": "None"  },...]

响应长达数千行。看起来就是我在返利申请中提交的所有数据，只是少了我上传的照片和文件。

为了获取这些信息，我的浏览器发送了一个如下所示的 HTTP 请求（我已将真实的申请 ID 替换为 123456）：

POST /traksmart4/public/guest/commercial/v2/application.json?projectId=123456 HTTP/1.1
Host: eversource.dsmcentral.com
Cookie: JSESSIONID=node0f7ynpnyr35zk1c91byqpx2x5n97179.node0;Path=/traksmart4;Secure
Content-Type: application/json
Content-Length: 27

{"programId":8,"formId":60}

引起我注意的是，URL 路径中包含了 public 和 guest 这两个词，这类词通常出现在不需要登录的网址中。

我浏览器的请求是经过身份验证的。Cookie 这一行是在向服务器告知我的登录 ID。但服务器真的会检查我的登录状态吗？

为了测试返利门户服务器是否会检查登录状态，我发出了完全相同的请求，但去掉了 Cookie 这一行。返利门户仍然返回了我的所有私密数据。糟了。Eversource 根本没有检查登录状态。

我的申请 ID 只有六位数字，意味着不到 100 万种可能。而且我敢肯定它们是按顺序编号的，所以任何访问返利门户的人都可以猜出我的项目 ID，并查看我提交的所有信息，包括我的姓名、电话号码、邮寄地址和车辆识别代号（VIN）。

如果恶意用户篡改我的申请怎么办？

Eversource 返利门户泄露我的个人信息已经够糟了，但情况更糟。以下是访问我申请的登录表单的样子：

那个泄露我所有数据的不安全 URL 包含了所有这些字段。恶意用户可以从有漏洞的 URL 中获取我的申请编号、电子邮件地址和邮政编码，然后冒充我登录返利门户。他们可以访问我的所有信息，包括我上传的照片或文件。

更糟的是，恶意用户可以修改我返利申请中的信息，例如将我的返利支票寄到另一个邮寄地址。

报告漏洞

管理 Eversource 返利门户的公司叫 Resource Innovations，看起来他们还为其他城市的许多电力公司运营着类似的项目。

我给 Resource Innovations 的 privacy@ 邮箱发了邮件，说明我发现了一个严重漏洞，并希望与他们的安全团队联系以分享细节。我找不到 Eversource 公开的安全邮箱，于是给 Eversource 的首席信息安全官 Christopher Leigh（克里斯托弗·利）发了邮件。

第二天，我收到了 Resource Innovations 信息安全副总裁 Desiree Robinson（德西蕾·罗宾逊）的回复。她提出立即与我进行视频通话来复核该漏洞，但问题非常简单，我们甚至不需要通话。我只是通过邮件给她发了一个无需身份验证即可生效的 HTTP 请求示例。她在次日回复说已经修复了该问题，我也确认在没有有效登录令牌的情况下已无法再访问该漏洞 URL。

Eversource 的首席信息安全官克里斯托弗·利从未回复我，但我收到了 Eversource“高管问询办公室”的 Karla Pickett（卡拉·皮克特）的回复。她说供应商“目前正在着手解决此问题”。

我向卡拉·皮克特和德西蕾·罗宾逊询问，她们能否分享更多关于未来为更好保护客户而采取的保障措施的细节。我还询问她们是否为协调披露安全问题的人提供漏洞赏金。她们都没有回复我的后续问题。

在为这篇博文准备截图时，我注意到同一用户流程中的另一个 URL 也在未检查身份验证的情况下暴露客户数据。这一次，它只暴露了我的全名、家庭住址和申请编号。我再次联系德西蕾·罗宾逊报告了这个问题。她在七分钟后就回复说正在调查。我第二天再次尝试该 URL，看到它已正确地执行了身份验证检查。

在 Eversource 和 Resource Innovations 的工程和安全方面有很多值得抱怨的地方，但有一点我必须肯定：他们的响应非常迅速。除了当我问到报酬时。

报告时间线

• 2025-01-27 - 我向 Eversource、Resource Innovations 和 Massachusetts Department of Public Utilities 报告我发现了一个想报告的漏洞。
• 2025-01-28 - Resource Innovations 回复并要求提供细节。
• 2025-01-28 - 我向 Resource Innovations 分享了漏洞的细节。
• 2025-01-29 - Resource Innovations 报告已修复该问题。
• 2025-02-05 - 我就另一个返利门户 URL 上的同一问题向 Resource Innovations 报告。
• 2025-02-05 - Resource Innovations 报告将开始着手修复该问题。
• 2025-02-06 - 我再次测试该漏洞 URL，看到它已正确地强制执行身份验证。

马萨诸塞州居民可以做什么

恰好，Eversource 正在申请纳税人资金以资助一个新的 EV 返利计划。

马萨诸塞州居民可以就 Eversource 的提案向州政府提交意见。根据 DPU 的说法，来自马萨诸塞州居民的意见在这些备案中具有分量，所以如果您关心 EV 项目，我鼓励您在 2026 年 2 月 18 日之前提交公开意见（见“任何有兴趣就此事发表意见的人……”）。

本周三（2 月 11 日）还将就 Eversource 的提案在 Zoom 上举行一场公开听证会。

我对 EV 返利计划的期望清单

需要说明的是：Eversource 不是街区里的小型电力公司。它是一家财富 500 强公司，在过去 12 个月里报告了 13 亿美元的利润。

根据我在 Eversource 当前 EV 返利计划中的经历，他们利用马萨诸塞州居民的公共资金，然后将尽可能多的工作转嫁给这些居民。

EV 返利申请本应是一个 5 到 10 分钟的流程，我只需提交购买证明，然后等待支票寄来。相反，我在两个月里花了数小时，至今仍不知道 Eversource 是否会批准我的申请。我的大部分精力都花在收集那些与项目目的完全无关的文件和细节上。

根本问题在于，可衡量的才会被管理，但没有人在衡量马萨诸塞州居民在处理 Eversource 返利计划上所花费的时间。结果，Eversource 将对该计划的投入降到最低，浪费了居民的时间并暴露了他们的个人信息。

以下是我希望在 Eversource 新的 EV 返利计划中看到的内容：

• Eversource 不得以要求客户创建新的在线账户作为返利的前提。
  • 返利表格必须可通过标准的 Eversource 客户门户访问。
  • 第三方供应商可以管理返利门户，但供应商必须实现安全的 single sign-on(单点登录) 流程，使客户无需创建新账户。
  • Eversource 必须用其已掌握的客户信息（如姓名、地址和账号）预先填充返利表格。
• 对于为其主要住所申请 EV 充电返利的房主，唯一需要的证明文件应为（1）充电桩的品牌、型号和序列号，以及（2）充电桩和电气工程的收据或发票。
  • 发票无需标注为已付清。
  • 居民无需证明拥有 EV，因为仅仅为了获得部分返利而亏本安装 EV 充电桩是毫无意义的。
• Eversource 必须自费聘请一家位于马萨诸塞州的网络安全公司，每年对返利门户进行一次安全审计。
  • Eversource 必须将这些审计结果提供给 MA DPU，并在六周内修复任何被评为高危或严重的问题。
• Eversource 必须按季度公布以下指标：
  • 开始返利申请的客户数量，
  • 收到一次或多次申请驳回的客户数量（无论最终结果如何），
  • 成功申请返利并收到付款的客户数量。
• 在整个申请过程中，Eversource 必须显示负责监管 EV 返利计划的 Massachusetts DPU 具体办公室的联系方式。
  • 该联系方式必须在返利申请被驳回的通知中显著展示，以便居民对错误的驳回进行申诉。
• MA DPU 必须有能力审计 EV 充电桩返利申请。
• 如果 Eversource 驳回申请且 DPU 认定该驳回无效，Eversource 必须向客户支付所申请返利金额 150% 的款项。
  • 即使申请后来获得批准，DPU 也不得为涉及无效驳回的申请向 Eversource 报销。

注：为避免泄露我自己账户的数据，我已隐去并更改了所示 HTTP 请求中的唯一标识符。