غول مخابراتی استرالیایی Optus گزارش شده است که از FBI برای تحقیق در مورد آنچه که به نظر می رسد به راحتی قابل پیشگیری بوده است کمک دریافت می کند که منجر به افشای اطلاعات حساس نزدیک به 10 میلیون مشتری شد.
در همین حال، هکر یا هکرهای آشکار پشت این نفوذ روز سه شنبه درخواست خود را برای باج 1 میلیون دلاری همراه با تهدید به انتشار دسته ای از داده های سرقت شده تا زمان پرداخت باج پس گرفتند. بازیگر تهدید همچنین ادعا کرد که تمام داده های دزدیده شده از Optus را حذف کرده است. با این حال، این تغییر ظاهری پس از آن اتفاق افتاد که مهاجم قبلاً نمونه‌ای از 10,200 پرونده مشتری را منتشر کرده بود، ظاهراً به عنوان دلیلی بر قصد.
افکار دوم
دلیل مهاجم برای پس گرفتن درخواست باج و تهدید نشت داده ها همچنان نامشخص است. اما در بیانیه ای که در یک انجمن دارک وب منتشر شد - و مجدداً در databreaches.net ارسال شد - مهاجم ادعایی به "چشم های زیاد" اشاره کرد که داده ها را یکی از دلایل می دانست. در یادداشت آمده است: «ما داده‌ها را به کسی نمی‌فروشیم». اگر حتی بخواهیم نمی‌توانیم: داده‌های شخصی را از درایو حذف کنیم (فقط کپی کنید).
مهاجم همچنین از Optus و 10,200 مشتری که اطلاعات آنها لو رفته است عذرخواهی کرد: "استرالیا هیچ سودی در تقلب نخواهد دید، این موضوع قابل نظارت است. شاید برای 10,200 استرالیایی اما بقیه جمعیت نه. خیلی متاسفم برات.»
عذرخواهی و ادعاهای مهاجم مبنی بر حذف داده های دزدیده شده بعید است نگرانی های مربوط به این حمله را که به عنوان بزرگترین نقض تاریخ استرالیا توصیف شده است، کاهش دهد.
Optus اولین بار در 21 سپتامبر این نقض را فاش کردو در یک سری به روز رسانی از آن زمان، آن را به عنوان تأثیر بر مشتریان فعلی و قبلی مشتریان باند پهن، تلفن همراه و تجاری شرکت از سال 2017 به بعد توصیف کرده است. به گفته این شرکت، این نقض ممکن است نام مشتریان، تاریخ تولد، شماره تلفن، آدرس ایمیل، و - برای زیرمجموعه ای از مشتریان - آدرس کامل، اطلاعات گواهینامه رانندگی، یا شماره پاسپورت آنها را فاش کند.
اقدامات امنیتی Optus در زیر میکروسکوپ
این نقض، نگرانی‌های مربوط به کلاهبرداری گسترده هویت را برانگیخته است و Optus را به همکاری با دولت‌های مختلف ایالتی استرالیا برای بحث در مورد پتانسیل تغییر جزئیات گواهینامه رانندگی افراد آسیب‌دیده به هزینه شرکت سوق داده است. هنگامی که با ما تماس گرفتیم، اعتباری در حساب شما برای پوشش هر گونه هزینه جایگزینی مربوطه قرار می دهیم. ما این کار را به صورت خودکار انجام خواهیم داد، بنابراین شما نیازی به تماس با ما ندارید،” Optus به مشتریان اطلاع داد. "اگر از ما خبری ندارید، به این معنی است که گواهینامه رانندگی شما نیازی به تغییر ندارد."
به خطر انداختن داده‌ها، شیوه‌های امنیتی Optus را کاملاً در کانون توجه قرار داده است، به ویژه به این دلیل که به نظر می‌رسد ناشی از یک خطای اساسی است. شرکت پخش استرالیا (ABC) در 22 سپتامبر به نقل از یک شخصیت ارشد ناشناسدر داخل Optus می‌گویند که مهاجم اساساً می‌توانست از طریق یک رابط برنامه‌نویسی برنامه‌نویسی (API) تأیید نشده به پایگاه داده دسترسی پیدا کند.
ظاهراً این خودی به ABC گفته است که پایگاه داده هویت مشتری زنده که مهاجم به آن دسترسی داشته است از طریق یک API محافظت نشده به اینترنت متصل شده است. فرض بر این بود که فقط سیستم های مجاز Optus از API استفاده می کنند. ABC به نقل از این خودی گفت، اما به نحوی در معرض یک شبکه آزمایشی قرار گرفت که اتفاقاً مستقیماً به اینترنت متصل بود.
ABC و دیگر رسانه‌ها، مدیر عامل Optus، Kelly Bayer Rosmarin را توصیف کردند که اصرار دارد این شرکت قربانی یک حمله پیچیده شده است و اطلاعاتی که مهاجم ادعا می‌کند به آنها دسترسی داشته رمزگذاری شده است.
اگر گزارش مربوط به API افشا شده درست باشد، Optus قربانی یک اشتباه امنیتی بود که بسیاری دیگر مرتکب شدند. آدام فیشر، معمار راه‌حل‌ها در Salt Security می‌گوید: «احراز هویت کاربر خراب یکی از رایج‌ترین آسیب‌پذیری‌های API است. مهاجمان ابتدا به دنبال آنها می‌گردند زیرا APIهای احراز هویت نشده هیچ تلاشی برای نقض نمی‌کنند.
او می‌گوید که APIهای باز یا احراز هویت نشده اغلب نتیجه تیم زیرساخت یا تیمی است که احراز هویت را مدیریت می‌کند و چیزی را به اشتباه پیکربندی می‌کند. فیشر می گوید: «از آنجایی که اجرای یک برنامه به بیش از یک تیم نیاز دارد، ارتباط نادرست اغلب رخ می دهد. او خاطرنشان می‌کند که APIهای احراز هویت نشده در فهرست ۱۰ آسیب‌پذیری امنیتی برتر OWASP جایگاه دوم را به خود اختصاص داده‌اند.
گزارشی که توسط Imperva در اوایل سال جاری انجام شد، مشاغل ایالات متحده را شناسایی کرد که بین آنها متحمل شده اند 12 میلیارد و 23 میلیارد دلار ضرر ناشی از سازش های مرتبط با API فقط در سال 2022. مطالعه دیگری مبتنی بر نظرسنجی که Cloudentity در سال گذشته انجام داد، پیدا کرد 44 درصد از پاسخ دهندگان گفتند که سازمان آنها نشت داده را تجربه کرده است و سایر مسائل ناشی از نقص های امنیتی API.
مهاجم "ترس"؟
FBI بلافاصله به درخواست Dark Reading برای اظهار نظر از طریق آدرس ایمیل دفتر مطبوعاتی ملی خود پاسخ نداد، اما نگهبان
و دیگران گزارش دادند که آژانس مجری قانون ایالات متحده برای کمک به تحقیقات فراخوانده شده است. این پلیس فدرال استرالیا، که در حال بررسی نقض Optus است، گفت که با مجریان قانون خارج از کشور برای ردیابی فرد یا گروه مسئول آن کار می کند.
کیسی الیس، موسس و مدیر ارشد فناوری شرکت Bugcrowd باگ بوونتی، می‌گوید که بررسی‌های شدیدی که دولت استرالیا، مردم و مجریان قانون این نقض دریافت کرده‌اند، ممکن است مهاجم را ترسانده باشد. او می‌گوید: «به ندرت پیش می‌آید که این نوع تعامل به اندازه این یکی تماشایی باشد. به خطر انداختن تقریباً نیمی از جمعیت یک کشور توجه بسیار شدید و بسیار قدرتمندی را به خود جلب خواهد کرد و مهاجمان درگیر در اینجا به وضوح این را دست کم گرفتند.»
او خاطرنشان می کند که پاسخ آنها نشان می دهد که عوامل تهدید بسیار جوان هستند و احتمالاً در رفتار مجرمانه بسیار تازه کار هستند، حداقل در این مقیاس.
فیشر می افزاید: «بدیهی است که دولت استرالیا این نقض را بسیار جدی گرفته است و به شدت به دنبال مهاجم است. "این پاسخ قوی ممکن است مهاجم را غافلگیر کرده باشد" و احتمالاً افکار دوم را برانگیخته است. با این حال، متأسفانه، داده ها در حال حاضر در دسترس هستند. هنگامی که یک شرکت خود را در اخباری مانند این می یابد، هر هکری به آن توجه می کند.
