ATTACCHI · VIOLAZIONE DI DATI PERSONALI
Optus, settembre 2022: l'interfaccia aperta che espone 9,8 milioni di clienti
Il 22 settembre 2022 Optus, il secondo operatore telefonico australiano, ha comunicato che un attaccante aveva estratto dati di circa 9,8 milioni di clienti attuali ed ex clienti, tra cui numeri di passaporto e patente. L'accesso è passato da un'interfaccia di programmazione esposta su internet, i cui controlli erano stati indeboliti da un errore di codice anni prima.
- Vittima
- Optus
- Settore
- Telecomunicazioni
- Paese
- Australia
- Data
- 22 settembre 2022
- Categoria
- Violazione di dati personali
- Causa
- Errore di configurazione
- Attore
- Non identificato. Non identificato
- Scenari di danno
- Notifica e responsabilità privacy · Responsabilità verso terzi · Sanzioni e indagini
Le cause in breve
- Accesso iniziale. Un'interfaccia di programmazione (API) collegata alla banca dati clienti era raggiungibile da internet (UpGuard).
- Errore all'origine. Secondo l'autorità australiana delle comunicazioni, una modifica al codice aveva indebolito il controllo degli accessi; Optus aveva corretto l'errore sul sito principale nel 2021, ma non sul sottodominio dell'interfaccia (iTnews).
- Controllo mancato. Un inventario delle interfacce esposte e la verifica che una correzione fosse applicata ovunque.
L'impatto
- Dati di circa 9,8 milioni di persone, con nomi, date di nascita, indirizzi, telefoni e in parte numeri di passaporto e patente, alcuni risalenti al 2017 (UpGuard).
- Un attaccante ha chiesto un riscatto di un milione di dollari, poi ritirato, dopo aver pubblicato una parte dei dati (ACS Information Age).
- Optus ha rimborsato a 20.071 persone la sostituzione dei documenti d'identità (iTnews).
- L'autorità delle comunicazioni (ACMA) ha portato Optus in tribunale per non aver protetto i dati dei clienti (iTnews).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e gestione della crisi con i clienti rispondono.
- Ripristino di dati e sistemiNon pertinenteNon ci sono stati sistemi cifrati o distrutti da ricostruire.
- Business interruption propriaNon pertinenteI servizi telefonici non si sono fermati.
- Business interruption dipendente (fornitore)Non pertinenteNessun fornitore si è fermato.
- EstorsioneNon pertinenteLa richiesta di riscatto è stata ritirata e Optus non ha pagato.
- Notifica e responsabilità privacyRisponde con limitiNotifiche, monitoraggio e sostituzione dei documenti per milioni di persone superano facilmente i sottolimiti tipici della garanzia.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiRisponde alle azioni collettive dei clienti, ma solo nei limiti della polizza, con cifre in gioco ben superiori.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Sanzioni. Le sanzioni chieste dalle autorità australiane sono assicurabili solo dove la legge lo consente.
- Costi volontari. Il rimborso dei documenti offerto spontaneamente ai clienti può non rientrare nella garanzia, se non concordato con l'assicuratore.
- Limite aggregato. Notifiche, difesa e risarcimenti consumano lo stesso limite: con quasi 10 milioni di persone il limite si esaurisce presto.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Il numero di persone coinvolte e i procedimenti di due autorità rendono il costo superiore ai limiti cyber tipici, anche senza alcun fermo.
Nessun segnale di cumulo.