CANBERRA, Australia (AP) — La policía australiana estaba investigando un informe según el cual un supuesto pirata informático ya había publicado los datos personales robados de 10.000 clientes de Optus y exigía un rescate de 1 millón de dólares en criptomonedas, dijo el martes el director ejecutivo de la compañía de telecomunicaciones. .
El gobierno australiano culpó a la seguridad cibernética laxa del segundo operador inalámbrico más grande del país por la violación sin precedentes de la semana pasada de los datos personales de 9,8 millones de clientes actuales y anteriores de Optus.
Jeremy Kirk, un escritor de seguridad cibernética con sede en Sydney, dijo que el supuesto hacker había publicado 10 000 registros de clientes de Optus en la dark web y amenazó con publicar otros 10 000 cada día durante los próximos cuatro días a menos que Optus pagara el rescate.
Cuando se le preguntó si el pirata informático había amenazado con vender los datos restantes si Optus no pagaba el millón de dólares dentro de una semana, el director ejecutivo de la compañía, Kelly Bayer Rosmarin, dijo a Australian Broadcasting Corp.: “Hemos visto que hay un po es así en la web oscura”.
La Policía Federal Australiana dijo el lunes que sus investigadores estaban trabajando con agencias en el extranjero para determinar quién estaba detrás del ataque y ayudar a proteger al público del fraude de identidad. La policía declinó hacer más comentarios el martes mientras las investigaciones estaban en curso, dijo un comunicado de la AFP.
“Están investigando todas las posibilidades y están usando el tiempo disponible para ver si pueden rastrear ese particular. criminal y verificar si son de buena fe”, dijo Bayer Rosmarin. .
La ministra de seguridad cibernética, Clare O’Neil, instó el martes a Optus a dar prioridad a informar a los clientes qué información se había tomado.
“Estoy increíblemente preocupado esta mañana por informa que la información personal de la violación de datos de Optus, incluidos los números de Medicare, ahora se ofrece de forma gratuita y a cambio de rescate”, dijo O’Neil en un comunicado.
“Nunca se aconsejó formar números de Medicare parte de la información comprometida de la violación”, agregó.
Los consumidores tienen derecho a saber exactamente qué en la información personal individual se ha visto comprometida en las comunicaciones de Optus con ellos, dijo.
“Los informes de hoy hacen de esto una prioridad”, dijo O’Neil.
O’ El lunes, Neil describió el ataque como un «robo de información del consumidor sin precedentes en la historia de Australia». números de pasaporte, violados y corren un riesgo significativo de robo de identidad y fraude, dijo.
Optus parecía haber dejado una interfaz de programación de aplicaciones, una pieza de software conocida como API que permite que otros sistemas se comuniquen e intercambien datos, abierta al público, dijo Kirk.
“Parece que fue una falla en la seguridad del sistema de software, por lo que cualquiera en Internet podría encontrarlo”, dijo Kirk.
The Australian Fin Anual Review dijo que la teoría de que Optus “dejó abierta una API” había sido ampliamente difundida.
Bayer Rosmarin rechazó tales explicaciones.
“Dado que no se nos permite decir mucho porque la policía nos ha pedido que no lo hagamos, lo que puedo decir es que espero que ayude a la gente a entender que no se trata de una imagen, es que nuestros datos fueron encriptados y tenemos múltiples capas de protección”, dijo Bayer Rosmarin.
“Así que no es el caso de tener algunos una especie de API completamente expuesta”, agregó.
O’Neil no detalló cómo ocurrió la violación, pero la describió como un “truco bastante básico”.
Optus había «dejado efectivamente la ventana abierta para el robo de datos de esta naturaleza», dijo O’Neil.
Como resultado, el gobierno de Australia está considerando reglas de ciberseguridad más estrictas para las empresas de telecomunicaciones. del hackeo.
La ley actual de protección cibernética no permite que se multe a Optus por la infracción, aunque O’Neil señaló que podrían imponerse multas de cientos de millones de dólares si hubiera ocurrido en otros países.
O’Neil dijo un la multa potencial de 2 millones de dólares australianos (1,3 millones de dólares) en virtud de la ley de privacidad era inadecuada.