En septiembre de 2022, la empresa australiana de telecomunicaciones Optus sufrió una filtración de datos que afectó a hasta 10 millones de clientes actuales y anteriores, lo que representa un tercio de la población de Australia. Se obtuvo información ilegalmente, incluidos nombres, fechas de nacimiento, domicilios, números de teléfono, contactos de correo electrónico y números de pasaportes y permisos de conducir. Se hicieron afirmaciones contradictorias sobre cómo se produjo la infracción; Optus lo presentó como un ataque complicado a sus sistemas, mientras que un miembro de Optus y el gobierno australiano dijeron que un error humano causó una vulnerabilidad en la API de la compañía . Se emitió un aviso de rescate pidiendo 1.500.000 dólares australianos para evitar que los datos se vendieran en línea. Después de unas horas, los ladrones de datos borraron el aviso de rescate y se disculparon por sus acciones.
Figuras gubernamentales, incluida la Ministra de Asuntos Internos y Seguridad Cibernética, Clare O'Neil , y el Ministro de Servicios Gubernamentales, Bill Shorten , criticaron a Optus por su papel en el ataque y por no cooperar con las agencias gubernamentales y el público. El gobierno anunció legislación, incluida la autorización para compartir información con servicios financieros y agencias gubernamentales, y reformas a las leyes australianas sobre seguridad de infraestructura crítica para ayudar al gobierno a actuar en caso de futuras violaciones. [1] En respuesta a la violación de datos, Optus acordó pagar los reemplazos de los pasaportes comprometidos, encargó una revisión externa y ofreció a los clientes gravemente afectados una suscripción a un servicio de monitoreo de crédito . Optus también se disculpó por la infracción. Los clientes criticaron a Optus por no ser receptivo y brindar respuestas inadecuadas a los afectados. En junio de 2023, estaban en curso investigaciones sobre la infracción y una demanda colectiva de los clientes afectados.
Optus , una empresa de telecomunicaciones australiana , se fundó en 1981 con la formación de la empresa gubernamental de comunicaciones por satélite AUSSAT. [2] AUSSAT fue privatizada en 1991 y vendida a un consorcio que incluía a Mayne Nickless y AMP Limited . [3] En 2022, Optus era la tercera empresa de telecomunicaciones más grande de Australia con una participación de mercado del 13,1%. [4] En septiembre de 2022, Optus tenía alrededor de 10 millones de clientes, lo que representa más de un tercio de la población de Australia de alrededor de 26,12 millones de personas. [5] [6]
El 20 de septiembre de 2022, el equipo técnico de Optus notó e investigó actividad sospechosa en su red. Al día siguiente, se descubrió que los sistemas de Optus habían sufrido una violación de datos y se informó a los reguladores. El 22 de septiembre, la empresa anunció públicamente la filtración de datos e informó a las agencias de noticias. [5] [7] Optus aconsejó al público que estuviera atento a posibles actividades fraudulentas, pero afirmó que no sabía si la infracción había causado algún daño a los clientes. Optus no indicó cuántos clientes se vieron afectados ni si el robo de datos había causado daños. [8] La información obtenida ilegalmente incluía nombres, fechas de nacimiento, domicilios, números de teléfono, contactos de correo electrónico y números de pasaporte y permiso de conducir. [5]
El 23 de septiembre, Optus negó las afirmaciones de un experto en que se había producido un error en el que su interfaz de programación de aplicaciones (API) había quedado expuesta accidentalmente a una red de prueba que tenía acceso a Internet. La compañía también dijo que se había producido una infracción complicada y que tenía un sólido sistema de ciberseguridad. [9] Se le dijo a la Australian Broadcasting Corporation (ABC) que Optus creía que el pirata informático había eliminado la base de datos de consumidores de la compañía y que un tercio de los datos de la base de datos habían sido copiados y extraídos. [9]
El 24 de septiembre, Optus y la Policía Federal Australiana (AFP), que había abierto una investigación criminal, recibieron informes de que los datos de la filtración se estaban vendiendo en línea y estaban monitoreando la web oscura para detectar cualquier intento de vender los datos. [10] El mismo día, un usuario del sitio web BreachForums publicó una nota de rescate; Algunos expertos en ciberseguridad creían que la nota era auténtica, pero Optus y la AFP no confirmaron su autenticidad. La nota exigía a Optus pagar 1.500.000 dólares en la criptomoneda Monero , centrada en la privacidad , proporcionaba una muestra de datos de 200 clientes y decía que los ladrones de datos divulgarían la información personal de 10.000 clientes todos los días si Optus no pagaba el rescate hasta que transcurriera una semana. Una vez transcurrida la semana, los ladrones vendían los datos por 400.000 dólares australianos a quien los quisiera. [11] Después de varias horas, el usuario eliminó su publicación original y pareció disculparse por sus acciones a pesar de que no se pagó ningún rescate, afirmando que fue un "error eliminar los datos de publicación [sic] en primer lugar" [11] y que demasiados La gente estaba prestando atención a la brecha. El usuario señaló que habría informado sobre el exploit que utilizó si hubiera podido comunicarse con Optus, y señaló la falta de un correo seguro, un contacto de mensajería y recompensas por errores . [11]
La ministra de Asuntos Internos y Seguridad Cibernética, Clare O'Neil, dijo que Optus fue culpable del ataque, refutando el argumento de Optus de que el ataque era complicado. O'Neil también afirmó que el ataque no debería haber ocurrido, afirmando: "La responsabilidad de la violación de seguridad recae en Optus[,] y quiero señalar que la violación es de una naturaleza que no deberíamos esperar ver en un gran proveedor de telecomunicaciones. en este país". [12]
El 6 de octubre, el gobierno federal anunció una regulación de emergencia para permitir temporalmente que las licencias de conducir, la información de Medicare y los números de pasaporte se compartan con los servicios financieros, el Commonwealth y las agencias estatales y territoriales para ayudar a monitorear las cuentas de los clientes afectados por la infracción de derechos de autor. posibles estafas o fraudes. Las instituciones financieras tuvieron que comprometerse a realizar varias acciones para recibir los datos, incluido el cumplimiento de las obligaciones de privacidad y la eliminación de los datos una vez utilizados. Se pidió al Consejo de Reguladores Financieros que identificara e informara sobre los cambios en las instrucciones financieras para identificar a los clientes que corrían riesgo de sufrir estafas y fraudes. Los cambios estuvieron vigentes durante 12 meses. El tesorero Jim Chalmers afirmó que las medidas ayudarían a proteger a los clientes de estafas y detectar fraudes. [13]
O'Neil expresó su frustración por la falta de capacidad del gobierno para intervenir en la violación de datos, su incapacidad para ayudar con la limpieza u obligar a Optus a brindar información sobre los servicios gubernamentales. Dijo que la ley australiana no era útil para el gobierno cuando era necesaria porque las leyes de Australia que regulan la seguridad de la infraestructura crítica solo permitían al gobierno intervenir mientras se producía una violación de datos. [14]
Tras la violación, se anunciaron varias medidas de seguridad nuevas para proteger a las víctimas del fraude, incluida la información más rápida a los bancos sobre las violaciones de datos para evitar el uso de datos para acceder de manera fraudulenta a cuentas bancarias. [15] El gobierno federal anunció una revisión del plan de ciberseguridad de 1.700 millones de dólares introducido por el gobierno anterior , incluidos poderes adicionales para intervenir en la ciberseguridad. El gobierno también consideró una Ley de Seguridad Cibernética para crear estándares y obligaciones para la industria y el gobierno, y una reforma a la Ley de Seguridad de Infraestructura Crítica para incluir los datos y sistemas de los clientes bajo la definición de "infraestructura crítica", permitiendo al gobierno intervenir en importantes violaciones de datos. [dieciséis]
En abril de 2023, se fundó la Oficina Nacional de Seguridad Cibernética con cinco empleados a tiempo completo y sin financiación adicional más allá de la que ya se había otorgado al Departamento del Interior . [17] En junio de 2023, el mariscal del aire Darren Goldie fue nombrado coordinador inaugural de seguridad cibernética de Australia. [18] En noviembre de 2023, Goldie fue llamado al Departamento de Defensa por un asunto laboral, y el jefe de seguridad cibernética e infraestructura Hamish Hansford asumió el cargo mientras tanto. [19]
El 27 de febrero de 2023, el primer ministro Anthony Albanese y O'Neil organizaron una mesa redonda con grupos de la industria y la sociedad civil sobre ciberseguridad tras la violación de datos. Se publicó un documento de debate sobre el papel del gobierno federal en el aumento de la capacidad de ciberseguridad de Australia. [16] [20]
Los gobiernos estatales de Queensland , Victoria , Australia del Sur y Australia Occidental acordaron pagar el reemplazo de las licencias de conducir de las personas cuyos números de licencia de conducir se vieron comprometidos por la violación. [21] [22] En Victoria, se promulgaron rápidamente planes para agregar un segundo número a las licencias de conducir; Todas las víctimas de la infracción recibieron el segundo número como parte de sus reemplazos, para proteger a los victorianos del robo de identidad. [23]
El día que se anunció la infracción, Optus instaló una "sala de guerra" en su sede en Macquarie Park, Nueva Gales del Sur . Esto involucró a alrededor de 150 empleados y estaba encabezado por la ex primera ministra de Nueva Gales del Sur, Gladys Berejiklian , y el jefe de asuntos públicos y regulatorios, Andrew Sheridan. [24]
Optus encargó a Deloitte que realizara una "revisión externa independiente" sobre la infracción. [25] Optus también ofreció a sus clientes "más afectados" una suscripción de 12 meses al servicio de monitoreo de crédito Equifax Protect después de que O'Neil solicitara a la compañía comprar monitoreo de crédito para sus clientes en el turno de preguntas . [26] La directora ejecutiva de Optus, Kelly Bayer Rosmarin, se disculpó por el ataque en nombre de la empresa. [27] Optus reservó 140 millones de dólares para los costos relacionados con la violación, incluido el reemplazo de documentos de identidad pirateados, las suscripciones a Equifax Protect y la revisión de Deloitte. [27] Optus prometió pagar el reemplazo de los pasaportes australianos y extranjeros comprometidos. [28]
Optus informó que a 2,1 millones de sus clientes les habían robado documentos de identidad en el ataque. De ellos, a 1,2 millones les robaron al menos un número válido y actual de una forma de identificación personal. A los 900.000 clientes restantes les robaron sus números de identidad caducados. [29]
Services Australia acusó a Optus de falta de comunicación. El 27 de septiembre, Services Australia escribió a Optus "solicitándole los detalles completos de todos los clientes afectados con las credenciales de Services Australia expuestas, como tarjetas de Medicare y/o tarjetas de concesión de Centrelink". [14] El Ministro de Servicios Gubernamentales, Bill Shorten, declaró una semana después que Services Australia no había recibido ningún dato de Optus, que dijo que estaba "en contacto con Services Australia y les informaremos a todos los clientes afectados sobre los pasos que pueden seguir". llevar". [14] También hubo confusión sobre la cantidad de números de identificación de Medicare robados; Shorten dijo en una conferencia de prensa que se habían robado alrededor de 36.900 números de identificación y Optus dijo que se habían robado 14.900 números de identificación. [14]
Los clientes también informaron haber tenido problemas para comunicarse con Optus. Los clientes declararon que Optus no pudo confirmar que su información personal fuera parte de la violación de datos. Los clientes informaron que después de comunicarse con Optus varias veces, el chatbot de la compañía no entendió las preguntas de los clientes sobre la infracción, los representantes de ventas dieron respuestas deficientes, no recibieron ninguna respuesta de Optus y hubo demoras en advertir a los clientes sobre la información personal comprometida. Un cliente afirmó: "En última instancia, somos blancos fáciles para el robo de identidad y, dado que no podemos cambiar nuestras fechas de nacimiento, dirección o nombres, no hay mucho que podamos hacer al respecto, lo cual es increíblemente frustrante". [26]
El 8 de marzo de 2023, Bayer Rosmarin reafirmó la afirmación de Optus de que el ataque era sofisticado y declaró en una cumbre empresarial: "[e]l criminal experto tenía conocimiento de los sistemas de Optus y recorrió muchas decenas de miles de direcciones de protocolo de Internet en un intento de evadir nuestro cibermonitoreo automatizado". [30] También afirmó que Optus nunca pagó un rescate al pirata informático y que el motivo principal de la infracción fueron otros fines de estafa. [30]
En noviembre de 2023, Bayer Rosmarin dimitió como director ejecutivo de Optus tras la interrupción de Optus en 2023 ; Había habido una presión cada vez mayor sobre ella para que renunciara debido a la interrupción y la violación de la fecha. [31]
El 6 de octubre de 2022, la Policía Federal Australiana (AFP) arrestó a Dennis Su, un joven de Sydney de 19 años, en su casa de Rockdale por chantajear a 93 clientes de Optus afectados por la infracción. Su dijo que cometería delitos financieros utilizando los datos personales de los clientes a menos que le pagaran 2.000 dólares australianos, lo cual ninguno hizo. Fue acusado de un cargo de uso de una red de telecomunicaciones con la intención de cometer un delito grave y un cargo de tratar con información de identificación con la intención de cometer un delito. La subcomisaria de la AFP, Justine Gough, afirmó que no se sospechaba que Su fuera responsable de la infracción y advirtió a la gente que no hiciera clic en enlaces que afirmaran ser de Optus. [32] Su se declaró culpable en noviembre de 2022; no fue a la cárcel debido a una declaración de culpabilidad, su edad y el remordimiento mostrado por sus acciones, y recibió una orden correccional comunitaria de 18 meses. [33]
El 11 de octubre, la Oficina del Comisionado de Información de Australia (OAIC) inició una investigación sobre la infracción, el manejo de los datos personales de los clientes por parte de Optus, si Optus tomó medidas razonables para proteger a los consumidores afectados por la infracción contra fraude, mal uso o pérdida, y si Optus necesitaba conservar la información recopilada. La Autoridad Australiana de Comunicaciones y Medios (ACMA) también inició una investigación sobre la violación, centrándose en las obligaciones de Optus de proteger y eliminar datos personales. [34] El gobierno federal otorgó a la OAIC $5,5 millones para investigar la violación durante dos años en su presupuesto de octubre de 2022 . [25]
El bufete de abogados Slater & Gordon lanzó una demanda colectiva alegando que Optus "violó las leyes y sus propias políticas al no proteger adecuadamente los datos de los clientes y no destruir o desidentificar los datos de antiguos clientes". A la demanda colectiva en curso se unieron 100.000 clientes actuales y anteriores de Optus que querían una compensación por las pérdidas, incluido el tiempo para reemplazar los documentos de identificación y el estrés que causó. Optus declaró que defendería sus acciones. [35] [36] En el tribunal, los abogados de Slater & Gordon solicitaron la publicación del informe de Deloitte, argumentando que podría revelar las posibles causas de la violación de datos. Optus se negó a publicar el informe a pesar de que Bayer Rosmarin afirmó en marzo de 2023 que Optus compartiría "recomendaciones y aprendizajes clave" [37] del informe. [37] [38] En noviembre de 2023, Optus perdió un intento de mantener la confidencialidad del informe. [39]