Editor Top
Un cliente espera el servicio en una tienda de teléfonos Optus en Sydney, Australia, el jueves 7 de octubre de 2021. El gobierno australiano dijo el lunes 26 de septiembre de 2022 que estaba considerando reglas de ciberseguridad más estrictas para las empresas de telecomunicaciones después de que Optus, la segundo operador de telefonía móvil más grande, informó que se habían violado los datos personales de 9,8 millones de clientes. Crédito: AP Photo/Mark Baker, Archivo
La policía australiana estaba investigando la liberación de un supuesto pirata informático de los datos personales robados de 10,000 clientes de Optus y la demanda de un rescate de $ 1 millón en criptomoneda, dijo el martes el director ejecutivo de la compañía de telecomunicaciones.
El gobierno australiano culpó a la seguridad cibernética laxa en el segundo operador inalámbrico más grande del país por la violación sin precedentes la semana pasada de los datos personales de 9.8 millones de clientes actuales y anteriores de Optus.
Jeremy Kirk, un escritor de seguridad cibernética con sede en Sydney, dijo que el supuesto pirata informático, que usa el nombre en línea Optusdata, había publicado 10,000 registros de clientes de Optus en la web oscura y amenazó con publicar otros 10,000 cada día durante los próximos cuatro días a menos que Optus pagara el rescate. .
Cuando se le preguntó si el hacker había amenazado con vender los datos restantes si Optus no pagaba el millón de dólares en una semana, la directora ejecutiva de la compañía, Kelly Bayer Rosmarin, dijo a Australian Broadcasting Corp.: «Hemos visto que hay una publicación como esa en la dark web». .»
La Policía Federal Australiana dijo el lunes que sus investigadores estaban trabajando con agencias en el extranjero, incluido el FBI, para determinar quién estaba detrás del ataque y ayudar a proteger al público del fraude de identidad. La policía declinó hacer más comentarios el martes mientras las investigaciones estaban en curso.
“Están investigando todas las posibilidades y están usando el tiempo disponible para ver si pueden rastrear a ese criminal en particular y verificar si es de buena fe”, dijo Bayer Rosmarin.
Kirk escribió en su sitio web Bank Info Security que Optusdata luego eliminó la publicación junto con tres muestras de los datos robados.
Optusdata envió a Kirk un enlace a la nueva publicación que retiró la demanda de rescate, afirmó que los datos robados se habían eliminado y se disculpó con Optus y sus clientes.
«Demasiados ojos. No venderemos (sic) datos a nadie», decía la publicación, y agregaba que Optus no había pagado un rescate.
Kirk dijo que preguntó por qué Optusdata había cambiado de opinión, pero no recibió respuesta.
La comisionada de información y privacidad de Australia, Angelene Falk, la autoridad nacional de protección de datos, dijo que la publicación más reciente «indica… que este es un incidente que avanza muy rápidamente».
«Es un incidente importante de gran preocupación para la comunidad. En lo que debemos centrarnos aquí es en garantizar que se mantengan todos los pasos para proteger la información personal de la comunidad de un mayor riesgo de daño», dijo Falk.
El martes anterior, Kirk dijo que los datos personales publicados parecían incluir números de atención médica, una forma de identificación que no se había revelado públicamente previamente que había sido pirateada.
La ministra de ciberseguridad, Clare O’Neil, instó a Optus a dar prioridad a informar a los clientes qué información se había tomado.
«Estoy increíblemente preocupado esta mañana por los informes de que la información personal de la violación de datos de Optus, incluidos los números de Medicare, ahora se ofrece de forma gratuita y por rescate», dijo O’Neil. «Nunca se aconsejó que los números de Medicare formaran parte de la información comprometida por la filtración», agregó.
O’Neil describió el lunes el hackeo como un «robo de información del consumidor sin precedentes en la historia de Australia».
De los 9,8 millones de personas afectadas, 2,8 millones tenían «cantidades significativas de datos personales», incluidas licencias de conducir y números de pasaporte, violados y corren un riesgo significativo de robo de identidad y fraude, dijo.
Kirk dijo que usó un foro en línea para delincuentes que intercambian datos robados para preguntarle a Optusdata cómo se accedió a la información de Optus.
Optus parecía haber dejado abierta al público una interfaz de programación de aplicaciones, una pieza de software conocida como API que permite que otros sistemas se comuniquen e intercambien datos, dijo Kirk.
«Parece que fue una falla en la seguridad del sistema de software, por lo que cualquiera en Internet podría encontrarlo», dijo Kirk.
El Australian Financial Review dijo que la teoría de que Optus «dejó abierta una API» había sido ampliamente difundida.
Bayer Rosmarin rechazó tales explicaciones.
«Dado que no podemos decir mucho porque la policía nos ha pedido que no lo hagamos, lo que puedo decir, que con suerte ayudará a las personas a comprender que no se trata de una representación, es que nuestros datos fueron encriptados y tenemos múltiples capas de protección. , dijo Bayer Rosmarin.
«Entonces, no es el caso de tener algún tipo de API completamente expuesta», agregó.
O’Neil no detalló cómo ocurrió la violación, pero la describió como un «truco bastante básico».
Optus había «dejado efectivamente la ventana abierta para el robo de datos de esta naturaleza», dijo O’Neil.
El gobierno de Australia está considerando reglas de ciberseguridad más estrictas para las empresas de telecomunicaciones como resultado del ataque.
La ley actual de protección cibernética no permite que se multe a Optus por la infracción, aunque O’Neil señaló que serían posibles multas de cientos de millones de dólares si hubiera ocurrido en otros países.
O’Neil dijo que una posible multa de 2 millones de dólares australianos (1,3 millones de dólares) en virtud de la ley de privacidad era inadecuada.
Australia evalúa leyes de ciberseguridad más estrictas tras violación de datos
© 2022 Prensa Asociada. Reservados todos los derechos. Este material no puede ser publicado, transmitido, reescrito o redistribuido sin permiso.
Citación: Investigación de la policía australiana supuesta demanda de rescate del hacker (27 de septiembre de 2022) consultado el 27 de septiembre de 2022 en https://techxplore.com/news/2022-09-australian-police-probe-purported-hacker.html
Este documento está sujeto a derechos de autor. Aparte de cualquier trato justo con fines de estudio o investigación privados, ninguna parte puede reproducirse sin el permiso por escrito. El contenido se proporciona únicamente con fines informativos.
