miniaturadaimagem|A Optus sofreu um dos maiores roubos de dados móveis da história da Austrália O Ciberataque à Optus foi um dos maiores roubos de dados móveis da história da Austrália, que foi revelado ao público no dia 23 de setembro de 2022, quando a diretora da empresa, Kelly Bayer Rosmarin, anunciou publicamente que 9.8 milhões de usuários foram atingidos, apesar de ter corrigido o número para 1.2 milhões de usuários, além de outros 900 mil que tiveram dados desatualizados roubados. A Optus, junto com a Polícia Federal Australiana e outros órgãos governamentais, lançaram a Operation Guardian para identificar os australianos atingidos, monitorar a internet para identificar vazamento de dados e identificar e prender cibercriminosos e a Operation Hurricane para prender os envolvidos com o ataque. O FBI também está ajudando no caso. A Optus também é alvo de duas investigações para determinar o quão bem ela seguiu suas obrigações como empresa.
O ataque gerou uma série de repercussões políticas na Austrália. O país já havia visto o aumento dos ataques virtuais nos últimos anos, que levou a uma preocupação sobre a cibersegurança australiana. Também, está em discussão uma possível modificação nas leis de metadados do país, para que as penas para os ataques sejam endurecidas e as empresas não possam pegar dados generalizados e mantê-los por tempo inderteminado. Além disso, surgiram preocupações com as eleições da Tasmânia, por seu atraso tecnológico comparado aos outros estados. Outras discussões são o possível impacto em sistemas e equipamentos militares e o custo gerado pela emissão de novos documentos.
O governo federal australiano anunciou uma série de mudanças nas leis que afetam as empresas de telecomunicação. Entre as mudanças está a facilitação de troca de dados entre a Optus e outros órgãos governamentais.
Inicialmente, um usuário do fórum da dark web, BreachForums, anunciou que venderia os dados caso a Optus não pagasse AU$ 1.53 milhões e liberou os dados de 10 mil pessoas como provas. Porém, ele recuou, dizendo que roubou dados de apenas 10.200 pessoas e que não os venderia mais por conta da atenção que o caso estava recebendo.
Antecedentes A Austrália já passava por um aumento de ciberataques no país, com 2,266 incidentes registrados pelo Centro de Cibersegurança Australiano entre 1 de julho de 2019 e 30 de julho de 2020. O assunto era de preocupação governamental.
No fim de 2020, a Singtel, empresa dona da Optus, havia sido hackeada por uma vulnerabilidade de dia zero presente em um arquivo chamado Accellion FTA, afetando 129 mil clientes e 23 empresas. Os dados roubados incluiam número de identidade, nome, idade, número de celular e endereço residencial. 28 empregados da Singtel tiveram suas contas bancárias expostas e 45 clientes empresariais tiveram detalhes do cartão de crédito expostos.
Após o ataque hacker, outras empresas sofreram ataques similares. Entre elas, estão o Medibank e o Woolworths.
Ataque No dia 23 de setembro de 2022, a diretora da Optus, Kelly Bayer Rosmarin, admitiu publicamente em transmissão em suas redes sociais que a empresa sofreu um dos maiores roubos de dados móveis na história da Austrália, onde 9.8 milhões de usuários se enquadraram no que a empresa considera o "pior cenário possível". O vice-presidente da Optus, Andrew Sheridan, descreveu o ataque como sendo muito sofisticado. A empresa, porém, possuia seguro contra ataques cibernéticos. No dia 3 de outubro, Kelly Bayer postou vídeo corrigindo os números previamente divulgados. De acordo com a diretora da Optus, 1,2 milhões de usuários tiveram ao menos um dado comprometido, e cerca de 900 mil pessoas tiveram dados desatualizados roubados. Entre os dados roubados, estão nomes, datas de aniversário, endereço postal, números do Medicare, números de passaporte e números da carteira de motorista.
No dia 10 de outubro, a Singtel anunciou na Bolsa de Valores de Singapora que a empresa Dialog, subsidiária de uma subsidiária da Singtel, também foi hackeada, potencialmente expondo os dados de 20 clientes e mil empregados.
Investigação A Polícia Federal Australiana anunciou no mesmo dia que estaria investigando o caso junto com outros departamentos governamentais, e pediu que os australianos melhorassem sua segurança online. No dia 27, o Procurador Geral Mark Dreyfus anunciou que o FBI estava ajudando nas investigações.
No dia 30 de setembro, a foi anunciada a Operation Guardian, que conta com a parceria com a Polícia Federal Australiana, as polícias de todos os estados e territórios, o Centro de Cibersegurança Australiano, a Associação dos Bancos Australianos, IDCARE e a Associação dos Bancos Pertencentes ao Cliente. A operação busca identificar os australianos atingidos, monitorar a internet para identificar vazamento de dados e identificar e prender cibercriminosos. No mesmo dia, a Polícia Federal Australiana também anunciou a Operation Hurricane, uma colaboração entre as forças de segurança australiana, o setor privado e a indústria para identificar e prender os envolvidos no ataque à Optus.
O Gabinete do Comissário de Informação Australiana e a Autoridade Australiana de Comunicação e Mídia abriram duas investigações para determinar o quão bem a Optus seguiu suas obrigações como empresa, incluindo o armazenamento de dados e proteção contra fraudes. A empresa poderá sofrer multas de A$ 2,2 milhões para cada caso de transgressão de privacidade que for levado a corte.
No dia 12 de novembro, um dia após a localização dos hackers russos que invadiram o Medibank, a Ministra de Cibersegurança Clare O'Neil e o Procurador Geral Mark Dreifus anunciaram a criação de uma força-tarefa para investigar cibercrimes.
Pedido de resgate Um usuário do fórum de internet na dark web BreachForums conhecido como Optusdata anunciou que venderia os dados a não ser que a Optus pagasse AU$ 1.53 milhões em uma semana. Ele postou os dados de 10 mil pessoas como prova, e pessoas consultadas pelos jornais The Sydney Morning Herald e The Age afirmam que os dados parecem reais, exceto em um caso onde a pessoa não era cliente da Optus. Há a possibilidade de que as informações tivessem sido captadas por outras fontes. A Optus respondeu que estava investigando a veracidade das alegações. Posteriormente, foi postada uma mensagem no BreachForums, onde o suposto hacker anunciou que não venderia mais os dados pelo excesso de atenção que o caso gerou e pediu desculpas aos 10.200 australianos que tiveram os dados roubados por ele. Após a suspensão das ameaças, outros usuários do fórum passaram a chamá-lo de amador. O BreachForums também postou dados de pessoas obtidos no ciberataque à Singtel em 2020 e alguns da Dialog.
Prisões No dia 6 de outubro, a Polícia Federal Australiana prendeu Dennis Su, um garoto do bairro de Rockdale, em Sydney, de 19 anos, que usou os dados postados no BreachForums para extorquir 93 pessoas em A$ 2 mil. Ninguém pagou o valor pedido. Ele está sendo julgado na Corte Local de Dawning Centre, onde foi acusado de usar uma rede de telecomunicações para cometer uma ofença séria e uso indevido de informações pessoais. Ele poderá ser condenado até dez anos de encarceiramento. Ele admitiu ser culpado, alegando na corte que salvou os dados da internet com o objetivo de extorquir os clientes.
Impacto financeiro O valor das ações da Optus caiu drásticamente após o ataque, porém se estabilizou acima de parte de seus concorrentes. Até o dia 10 de novembro, a Optus gastou A$ 140 milhões com reposição de documentos e outros custos gerados pelo ataque.
Reações
Reações da Optus A Optus passou a enviar notificações para os usuários que podem ter sido envolvidos, pedindo para tomarem cuidado com fraudes. Após sessão do parlamento, a Optus anunciou que daria um ano de inscrição para a Equifax Protect, e pediu por uma reforma na cibersegurança nacional. A empresa também comprou uma página inteira de anúncios nos principais jornais da Austrália, onde escreveu pedindo desculpas e divulgou um link onde os últimos acontecimentos seriam divulgados pela empresa. A Singtel alertou os stakeholders da Bolsa de Valores de Singapora sobre o ataque.
A Optus contratou a empresa Deloitte para fazer uma consultoria externa.
Houve denúncias de empresários e clientes que a Optus estava botando barreiras para as pessoas que tentaram trocar de operadora. A Optus, no entanto, nega as acusações. Também, a Optus pagou para mostrar a mensagem "antes de sair - podemos conversar?" quando algo relacionado a cancelar seus serviços fosse procurado no Google.
Setor privado Diversos bancos colaboraram com o governo para identificar os criminosos. Empresas financeiras passaram a escanear a dark web atrás de dados dos seus clientes que podem ter sido vazados.
Mais de 30 mil empregados da Telstra tiveram seus dados vazados no BreachForum. 296,019 e-mails e números de clientes usuários da T-Connect, da Toyota, foram expostos. As ações da empresa caíram em 0,72%.
A empresa de proxy ISS emitiu relatório recomendando que os investidores da REA Group AGM votassem contra a reeleição de Rosemarin para a participação no grupo no dia 10 de novembro, cargo que ela ocupava desde janeiro, argumentando que ela teria cargos demais.
Australianos Até outubro, IDCARE, ONG que dá suporte para problemas relacioanados a documentação e segurança online, recebeu mais de 15 mil interações. O Banco Commonwealth recebeu 5 mil ligações por dia sobre o ataque. A Comissão Australiana de Competição e Consumidor registrou 600 casos de furtos e fraude pelo país. O Google registrou um aumento de 337% nas buscas por roubo de identidade. Empresas de seguro contra ataques cibernéticos tiveram uma alta em ligações relativas ao ataque, incluindo a Equifax, empresa que a Optus anunciou que daria um ano de inscrição aos seus clientes.
De acordo com a EFTM Mobile Phone Survey, 56% dos clientes da Optus estavam cogitando mudar de operadora, enquanto 10% já mudaram.
Repercussões políticas
Complexidade do ataque No dia 26 de setembro, a Ministra do Interior Clare O'Neil culpou a empresa pelo incidente, dizendo que se tratou de um ataque "simples", o que vai contra as alegações da Optus. Entre as pessoas que apoiam a hipótese, estão o tesoureiro assistente Stephen Jones e o âncora chefe da Sky News Australia Kieran Gilbert. Por causa da pequena quantia de dinheiro pedido pelo grupo, é especulado que o hacker seja apenas um indivíduo, e não alguma grande organização ou país. A Singtel corrobora a versão da empresa, e afirma estar trabalhando com o governo federal para proteger os clientes. Kelly Bayer Rosmarin afirma que é cedo demais para saber a natureza do ataque. O CEO da Optus, Paul O'Sullivan, afirmou que a empresa precisou reconstruir toda a base de dados de 20 terabytes. Portanto, o ataque seria de natureza complexa.
Mudança de legislação