La polizia australiana stava indagando sul presunto rilascio da parte di un hacker dei dati personali rubati di 10.000 clienti del secondo vettore wireless più grande della nazione e ha chiesto un riscatto di 1 milione di dollari in criptovaluta, ha affermato martedì l'amministratore delegato della società.

Il governo australiano ha accusato la scarsa sicurezza informatica di Optus per la violazione senza precedenti dei dati personali di 9,8 milioni di clienti attuali ed ex la scorsa settimana.

Jeremy Kirk, uno scrittore di cybersecurity con sede a Sydney, ha affermato che il presunto hacker, che usa il nome online Optusdata, ha rilasciato 10.000 record di clienti Optus sul dark web e ha minacciato di rilasciarne altri 10.000 ogni giorno per i prossimi quattro giorni a meno che Optus non paghi il riscatto .

Alla domanda se l'hacker avesse minacciato di vendere i dati rimanenti se Optus non avesse pagato $ 1 milione entro una settimana, l'amministratore delegato della società, Kelly Bayer Rosmarin, ha detto all'Australian Broadcasting Corp.:"Abbiamo visto che c'è un post del genere sul dark web."

La polizia federale australiana ha detto lunedì che i suoi investigatori stavano lavorando con agenzie estere, incluso l'FBI, per determinare chi c'era dietro l'attacco e per aiutare a proteggere il pubblico dalla frode di identità. Martedì la polizia ha rifiutato ulteriori commenti poiché le indagini erano in corso.

"Stanno esaminando ogni possibilità e stanno usando il tempo a disposizione per vedere se riescono a rintracciare quel particolare criminale e verificare se sono in buona fede", ha detto Bayer Rosmarin.

Kirk ha scritto nel suo sito web Bank Info Security che Optusdata ha successivamente cancellato il post insieme a tre campioni dei dati rubati.

Optusdata ha inviato a Kirk un link a un nuovo post che ha ritirato la richiesta di riscatto, ha affermato che i dati rubati erano stati cancellati e si è scusato con Optus e con i suoi clienti.

"Troppi occhi. Non venderemo (sic) dati a nessuno", diceva il post, aggiungendo che Optus non aveva pagato un riscatto.

Kirk ha detto di aver chiesto perché Optusdata avesse cambiato idea ma non ha ricevuto risposta.

La commissaria australiana per l'informazione e la privacy, Angelene Falk, l'autorità nazionale per la protezione dei dati, ha affermato che l'ultimo post "indica... si tratta di un incidente in rapida evoluzione".

"Si tratta di un grave incidente di notevole preoccupazione per la comunità. Ciò su cui dobbiamo concentrarci qui è garantire che tutte le misure siano mantenute per proteggere le informazioni personali della comunità da ulteriori rischi di danni", ha affermato Falk.

Il consulente per la sicurezza web Troy Hunt sospettava che le scuse fossero arrivate dall'hacker. Ma non ha accettato che i dati ora fossero al sicuro.

"La domanda ora è cosa accadrà dopo? Non avremo più notizie da questo individuo? I dati appariranno in un volume maggiore domani, la prossima settimana, forse tra anni?" disse Hunt.

Almeno uno dei 10.000 clienti Optus i cui dati sono stati rilasciati sul dark web martedì aveva ricevuto un messaggio di testo presumibilmente dall'hacker che chiedeva un riscatto di 2.000 dollari australiani ($ 1.300), ha riferito Nine Network News a Sydney.

"Le tue informazioni saranno vendute e utilizzate per attività fraudolente entro due giorni o fino a quando non viene effettuato un pagamento di 2.000 dollari australiani", diceva il testo, inclusi i dettagli di un conto bancario australiano a nome Optusdata.

L'obiettivo dell'estorsione, identificato solo come Belinda e descritto come la madre di un bambino di 5 anni malato di cancro, ha detto a Nine:"A essere onesti, non è quello di cui abbiamo bisogno".

"Immagino che stiano solo cercando di fare pressione sulle persone affinché paghino", ha detto. Nove non ha comunicato se intendeva pagare.

Martedì scorso, Kirk ha affermato che i dati personali rilasciati sembravano includere numeri di assistenza sanitaria, una forma di identificazione non precedentemente rivelata pubblicamente per essere stata violata.

Il ministro della sicurezza informatica Clare O'Neil ha esortato Optus a dare priorità all'informazione dei clienti su quali informazioni sono state prese.

"I am incredibly concerned this morning about reports that personal information from the Optus data breach, including Medicare numbers, are now being offered for free and for ransom," O'Neil said. "Medicare numbers were never advised to form part of compromised information from the breach," she added.

O'Neil on Monday described the hack as an "unprecedented theft of consumer information in Australian history."

Of the 9.8 million people affected, 2.8 million had "significant amounts of personal data," including driver's licenses and passport numbers, breached and are at significant risk of identity theft and fraud, she said.

Kirk said he used an online forum for criminals who trade in stolen data to ask Optusdata how the Optus information was accessed.

Optus appeared to have left an application programming interface, a piece of software known as an API that allows other systems to communicate and exchange data, open to the public, Kirk said.

The Australian Financial Review newspaper said the theory that Optus "left open an API" had been widely reported.

Bayer Rosmarin rejected such explanations, but said police had told her not to release details.

"It is not the case of having some sort of completely exposed API sitting out there," Bayer Rosmarin said.

O'Neil didn't detail how the breach occurred, but described it as a "quite a basic hack."

Optus had "effectively left the window open for data of this nature to be stolen," O'Neil said. + Esplora ulteriormente

Australia mulls tougher cybersecurity laws after data breach

© 2022 Associated Press. Tutti i diritti riservati. Questo materiale non può essere pubblicato, trasmesso, riscritto o ridistribuito senza autorizzazione.