Το FBI βοηθά τις αυστραλιανές αρχές να διερευνήσουν τη μαζική παραβίαση δεδομένων Optus: Αναφορές

Ο αυστραλιανός τηλεπικοινωνιακός γίγαντας Optus φέρεται να λαμβάνει βοήθεια από το FBI για τη διερεύνηση μιας παραβίασης που φαίνεται να ήταν εύκολα αποτρέψιμη που κατέληξε να αποκαλύψει ευαίσθητα δεδομένα για σχεδόν 10 εκατομμύρια πελάτες.

Εν τω μεταξύ, ο προφανής χάκερ ή οι χάκερ πίσω από την παραβίαση την Τρίτη απέσυραν το αίτημά τους για λύτρα 1 εκατομμυρίου δολαρίων μαζί με την απειλή να αποδεσμεύσουν παρτίδες των κλεμμένων δεδομένων μέχρι να πληρωθούν τα λύτρα. Ο ηθοποιός της απειλής ισχυρίστηκε επίσης ότι διέγραψε όλα τα δεδομένα που είχαν κλαπεί από το Optus. Η προφανής αλλαγή γνώμης, ωστόσο, ήρθε αφού ο εισβολέας είχε ήδη δημοσιεύσει ένα δείγμα από περίπου 10,200 αρχεία πελατών, φαινομενικά ως απόδειξη της πρόθεσης.

Δεύτερες σκέψεις

Ο λόγος που ο εισβολέας απέσυρε την απαίτηση λύτρων και η απειλή διαρροής δεδομένων παραμένουν ασαφείς. Αλλά σε μια δήλωση που δημοσιεύτηκε σε φόρουμ του Dark Web — και αναδημοσιεύτηκε στο databreaches.net — ο φερόμενος επιτιθέμενος αναφέρθηκε σε «πάρα πολλά μάτια» βλέποντας τα δεδομένα ως έναν λόγο. «Δεν θα πουλήσουμε δεδομένα σε κανέναν», έγραφε το σημείωμα. "Δεν μπορούμε, αν θέλουμε ακόμη: να διαγράψουμε προσωπικά δεδομένα από τη μονάδα δίσκου (Μόνο αντιγραφή)." 

Ο εισβολέας ζήτησε επίσης συγγνώμη από την Optus και από τους 10,200 πελάτες των οποίων τα δεδομένα διέρρευσαν: «Η Αυστραλία δεν θα δει κανένα κέρδος στην απάτη, αυτό μπορεί να παρακολουθηθεί. Ίσως για 10,200 Αυστραλούς αλλά τον υπόλοιπο πληθυσμό όχι. Λυπάμαι πολύ για σένα.”

Η συγγνώμη και οι ισχυρισμοί του εισβολέα ότι διέγραψε τα κλεμμένα δεδομένα είναι απίθανο να κατευνάσουν τις ανησυχίες γύρω από την επίθεση, η οποία έχει περιγραφεί ως η μεγαλύτερη παραβίαση στην Αυστραλία.

Optus αποκάλυψε για πρώτη φορά την παραβίαση στις 21 Σεπτεμβρίου, και σε μια σειρά ενημερώσεων έκτοτε το περιέγραψε ότι επηρεάζει τους τρέχοντες και προηγούμενους πελάτες των ευρυζωνικών, κινητών και επιχειρηματικών πελατών της εταιρείας από το 2017 και μετά. Σύμφωνα με την εταιρεία, η παραβίαση μπορεί να έχει δυνητικά εκτεθειμένα ονόματα πελατών, ημερομηνίες γέννησης, αριθμούς τηλεφώνου, διευθύνσεις email και — για ένα υποσύνολο πελατών — τις πλήρεις διευθύνσεις, τα στοιχεία της άδειας οδήγησης ή τους αριθμούς διαβατηρίου.

Πρακτικές ασφάλειας Optus κάτω από το μικροσκόπιο

Η παραβίαση έχει πυροδοτήσει ανησυχίες για εκτεταμένη απάτη ταυτότητας και ώθησε την Optus - μεταξύ άλλων μέτρων - να συνεργαστεί με διάφορες κυβερνήσεις των πολιτειών της Αυστραλίας για να συζητήσει το ενδεχόμενο αλλαγής των στοιχείων της άδειας οδήγησης των επηρεαζόμενων ατόμων σε βάρος της εταιρείας. «Όταν έρθουμε σε επαφή, θα βάλουμε πίστωση στον λογαριασμό σας για να καλύψουμε οποιοδήποτε σχετικό κόστος αντικατάστασης. Θα το κάνουμε αυτό αυτόματα, επομένως δεν χρειάζεται να επικοινωνήσετε μαζί μας», ενημέρωσε τους πελάτες της Optus. «Αν δεν έχετε νέα από εμάς, σημαίνει ότι η άδεια οδήγησης δεν χρειάζεται να αλλάξει».

Ο συμβιβασμός δεδομένων έχει θέσει τις πρακτικές ασφαλείας της Optus στο επίκεντρο, ειδικά επειδή φαίνεται ότι προήλθε από ένα θεμελιώδες σφάλμα. The Australian Broadcasting Corporation (ABC) στις 22 Σεπτεμβρίου ανέφερε ένα άγνωστο «ανώτερο στέλεχος" μέσα στο Optus λέγοντας ότι ο εισβολέας ήταν βασικά σε θέση να έχει πρόσβαση στη βάση δεδομένων μέσω μιας μη επικυρωμένης διεπαφής προγραμματισμού εφαρμογών (API). 

Ο χρήστης φέρεται να είπε στο ABC ότι η ζωντανή βάση δεδομένων ταυτότητας πελατών στην οποία είχε πρόσβαση ο εισβολέας ήταν συνδεδεμένη μέσω ενός μη προστατευμένου API στο Διαδίκτυο. Η υπόθεση ήταν ότι μόνο εξουσιοδοτημένα συστήματα Optus θα χρησιμοποιούσαν το API. Αλλά κατά κάποιον τρόπο κατέληξε να εκτεθεί σε ένα δοκιμαστικό δίκτυο, το οποίο έτυχε να συνδεθεί απευθείας με το Διαδίκτυο, ανέφερε το ABC επικαλούμενο τον γνώστη.

Το ABC και άλλα μέσα ενημέρωσης περιέγραψαν τη Διευθύνουσα Σύμβουλο της Optus, Kelly Bayer Rosmarin, ότι επέμενε ότι η εταιρεία έπεσε θύμα περίπλοκης επίθεσης και ότι τα δεδομένα στα οποία ο εισβολέας ισχυρίστηκε ότι είχε πρόσβαση ήταν κρυπτογραφημένα.

Εάν η αναφορά σχετικά με το εκτεθειμένο API είναι αληθινή, το Optus έπεσε θύμα ενός λάθους ασφαλείας που κάνουν πολλοί άλλοι. «Ο κατεστραμμένος έλεγχος ταυτότητας χρήστη είναι ένα από τα πιο κοινά τρωτά σημεία του API», λέει ο Adam Fisher, αρχιτέκτονας λύσεων στην Salt Security. "Οι εισβολείς τους αναζητούν πρώτα γιατί τα μη πιστοποιημένα API δεν καταβάλλουν προσπάθεια για παραβίαση."

Τα ανοιχτά ή μη πιστοποιημένα API είναι συχνά το αποτέλεσμα της ομάδας υποδομής ή της ομάδας που διαχειρίζεται τον έλεγχο ταυτότητας, λανθασμένη ρύθμιση παραμέτρων, λέει. «Επειδή χρειάζονται περισσότερες από μία ομάδες για να τρέξει μια εφαρμογή, εμφανίζεται συχνά λάθος επικοινωνία», λέει ο Fisher. Σημειώνει ότι τα μη επαληθευμένα API καταλαμβάνουν τη δεύτερη θέση στη λίστα του OWASP με τα 10 κορυφαία τρωτά σημεία ασφαλείας API.

Μια έκθεση που ανατέθηκε από την Imperva νωρίτερα αυτό το έτος προσδιόρισε τις αμερικανικές επιχειρήσεις να υφίστανται μεταξύ τους 12 δισεκατομμύρια δολάρια και 23 δισεκατομμύρια δολάρια σε απώλειες από συμβιβασμούς που συνδέονται με το API μόλις το 2022. Μια άλλη μελέτη βασισμένη σε έρευνες που διεξήγαγε το Cloudentity πέρυσι βρήκε Το 44% των ερωτηθέντων είπε ότι ο οργανισμός τους είχε βιώσει διαρροή δεδομένων και άλλα ζητήματα που προκύπτουν από κενά ασφαλείας API.

«Φοβισμένος» επιθετικός;

Το FBI δεν απάντησε αμέσως σε αίτημα του Dark Reading για σχολιασμό μέσω της διεύθυνσης ηλεκτρονικού ταχυδρομείου του εθνικού γραφείου τύπου, αλλά το Κηδεμόνας
και άλλοι ανέφεραν ότι η αμερικανική υπηρεσία επιβολής του νόμου κλήθηκε να βοηθήσει στην έρευνα. ο Αυστραλιανή Ομοσπονδιακή Αστυνομία, που ερευνά την παραβίαση του Optus, δήλωσε ότι συνεργάζεται με τις ξένες αρχές επιβολής του νόμου για τον εντοπισμό του ατόμου ή της ομάδας που ευθύνεται για αυτήν.

Ο Casey Ellis, ιδρυτής και CTO της εταιρείας Bugcrowd, λέει ότι ο έντονος έλεγχος που έλαβε η παραβίαση από την αυστραλιανή κυβέρνηση, το κοινό και τις αρχές επιβολής του νόμου μπορεί να τρόμαξε τον δράστη. «Είναι αρκετά σπάνιο αυτό το είδος αλληλεπίδρασης να είναι τόσο θεαματικό όσο αυτό ήταν», λέει. «Ο συμβιβασμός σχεδόν του μισού πληθυσμού μιας χώρας θα συγκεντρώσει πολύ έντονη και πολύ ισχυρή προσοχή και οι επιτιθέμενοι που εμπλέκονται εδώ σαφώς το υποτίμησαν αυτό». 

Η απάντησή τους υποδηλώνει ότι οι παράγοντες της απειλής είναι πολύ νέοι και πιθανότατα πολύ νέοι στην εγκληματική συμπεριφορά, τουλάχιστον αυτής της κλίμακας, σημειώνει.

«Σαφώς, η αυστραλιανή κυβέρνηση έχει λάβει αυτή την παραβίαση πολύ σοβαρά και κυνηγά τον επιτιθέμενο με αδημονία», προσθέτει ο Fisher. «Αυτή η ισχυρή απάντηση μπορεί να είχε πιάσει τον επιτιθέμενο απροσδόκητο» και πιθανότατα προκάλεσε δεύτερες σκέψεις. «Ωστόσο, δυστυχώς, τα δεδομένα είναι ήδη ανοιχτά. Μόλις μια εταιρεία βρεθεί στις ειδήσεις όπως αυτή, κάθε χάκερ δίνει προσοχή».