De Australische politie onderzocht de vrijgave door een vermeende hacker van de gestolen persoonlijke gegevens van 10.000 klanten van de op een na grootste draadloze provider van het land en eiste een losgeld van $ 1 miljoen in cryptocurrency, zei de CEO van het bedrijf dinsdag.

De Australische regering geeft de lakse cybersecurity bij Optus de schuld van de ongekende inbreuk vorige week op de persoonlijke gegevens van 9,8 miljoen huidige en voormalige klanten.

Jeremy Kirk, een in Sydney gevestigde cyberbeveiligingsschrijver, zei dat de vermeende hacker, die de online naam Optusdata gebruikt, 10.000 Optus-klantenrecords op het dark web had vrijgegeven en dreigde de komende vier dagen elke dag nog eens 10.000 vrij te geven, tenzij Optus het losgeld betaalt. .

Op de vraag of de hacker had gedreigd de resterende gegevens te verkopen als Optus de $ 1 miljoen niet binnen een week zou betalen, vertelde de CEO van het bedrijf, Kelly Bayer Rosmarin, aan de Australian Broadcasting Corp.:"We hebben gezien dat er een dergelijk bericht op de darkweb."

De Australische federale politie zei maandag dat hun onderzoekers samenwerkten met buitenlandse instanties, waaronder de FBI, om te bepalen wie er achter de aanval zat en om het publiek te beschermen tegen identiteitsfraude. De politie weigerde dinsdag verder commentaar omdat het onderzoek nog aan de gang was.

"Ze onderzoeken elke mogelijkheid en gebruiken de beschikbare tijd om te zien of ze die specifieke crimineel kunnen opsporen en verifiëren of ze bonafide zijn", zei Bayer Rosmarin.

Kirk schreef op zijn website Bank Info Security dat Optusdata het bericht later verwijderde, samen met drie voorbeelden van de gestolen gegevens.

Optusdata stuurde Kirk een link naar een nieuw bericht waarin de eis om losgeld werd ingetrokken, beweerde dat de gestolen gegevens waren verwijderd en verontschuldigde zich bij Optus en zijn klanten.

"Te veel ogen. We zullen aan niemand (sic) gegevens verkopen", zei de post, eraan toevoegend dat Optus geen losgeld had betaald.

Kirk zei dat hij vroeg waarom Optusdata van gedachten was veranderd, maar kreeg geen antwoord.

De Australische commissaris voor informatie en privacy, Angelene Falk, de nationale autoriteit voor gegevensbescherming, zei dat het laatste bericht "geeft aan dat dit een zeer snel evoluerend incident is."

"Het is een groot incident van grote zorg voor de gemeenschap. Waar we ons hier op moeten concentreren, is ervoor te zorgen dat alle stappen worden gehandhaafd om de persoonlijke informatie van de gemeenschap te beschermen tegen verder risico op schade", zei Falk.

Webbeveiligingsadviseur Troy Hunt vermoedde dat de verontschuldiging afkomstig was van de hacker. Maar hij accepteerde niet dat de gegevens nu veilig waren.

"De vraag is nu wat er daarna gebeurt? Zullen we gewoon niets meer van deze persoon horen? Zullen de gegevens morgen, volgende week, mogelijk over jaren in een groter volume verschijnen?" zei Hunt.

Ten minste één van de 10.000 Optus-klanten wiens gegevens dinsdag op het dark web zijn vrijgegeven, had een sms ontvangen die zogenaamd van de hacker was en eiste een losgeld van 2.000 Australische dollar ($ 1.300), meldde Nine Network News in Sydney.

"Uw informatie wordt binnen twee dagen verkocht en gebruikt voor frauduleuze activiteiten of totdat een betaling van AU $ 2.000 is gedaan", staat in de tekst, inclusief details van een Australische bankrekening op naam Optusdata.

Het afpersingsdoelwit, alleen geïdentificeerd als Belinda en beschreven als een moeder van een 5-jarig kind met kanker, vertelde Nine:"Om eerlijk te zijn, het is gewoon niet wat we nodig hebben."

"Ik denk dat ze gewoon proberen om mensen hopelijk onder druk te zetten om te betalen," zei ze. Negen meldden niet of ze van plan was te betalen.

Eerder dinsdag zei Kirk dat de vrijgegeven persoonlijke gegevens gezondheidsnummers leken te bevatten, een vorm van identificatie die niet eerder publiekelijk was onthuld en gehackt was.

Minister van Cyberbeveiliging Clare O'Neil drong er bij Optus op aan om prioriteit te geven aan het informeren van klanten over welke informatie is weggenomen.

"I am incredibly concerned this morning about reports that personal information from the Optus data breach, including Medicare numbers, are now being offered for free and for ransom," O'Neil said. "Medicare numbers were never advised to form part of compromised information from the breach," she added.

O'Neil on Monday described the hack as an "unprecedented theft of consumer information in Australian history."

Of the 9.8 million people affected, 2.8 million had "significant amounts of personal data," including driver's licenses and passport numbers, breached and are at significant risk of identity theft and fraud, she said.

Kirk said he used an online forum for criminals who trade in stolen data to ask Optusdata how the Optus information was accessed.

Optus appeared to have left an application programming interface, a piece of software known as an API that allows other systems to communicate and exchange data, open to the public, Kirk said.

The Australian Financial Review newspaper said the theory that Optus "left open an API" had been widely reported.

Bayer Rosmarin rejected such explanations, but said police had told her not to release details.

"It is not the case of having some sort of completely exposed API sitting out there," Bayer Rosmarin said.

O'Neil didn't detail how the breach occurred, but described it as a "quite a basic hack."

Optus had "effectively left the window open for data of this nature to be stolen," O'Neil said. + Verder verkennen

Australia mulls tougher cybersecurity laws after data breach

© 2022 The Associated Press. Alle rechten voorbehouden. Dit materiaal mag niet worden gepubliceerd, uitgezonden, herschreven of opnieuw verspreid zonder toestemming.