Sicherheitsvorfall · Asien-Pazifik · September 2022

Datenschutzverletzung bei Optus-Kundendaten

Einer der größten Telekommunikationsanbieter Australiens gab eine Datenschutzverletzung bekannt, die Millionen aktueller und ehemaliger Kunden betraf.

Sicherheitsvorfall

Was geschehen ist

Optus gab bekannt, dass auf personenbezogene Kundendaten zugegriffen worden war, darunter bei einigen Kunden auch auf Ausweisdokumentnummern.

Öffentlichen Berichten zufolge erfolgte der Zugriff über eine öffentlich zugängliche Programmierschnittstelle (API).

Der Vorfall führte zu Untersuchungen durch australische Aufsichtsbehörden und zu Änderungen der datenschutzrechtlichen Strafbestimmungen.

Analyse

Gewonnene Erkenntnisse

APIs müssen an jedem Endpunkt Authentifizierung und Autorisierung erzwingen.

Testendpunkte und veraltete Endpunkte sollten inventarisiert und außer Betrieb genommen werden.

Datenminimierung begrenzt die Auswirkungen einer Datenschutzverletzung.

Prävention

Wie Penetrationstests helfen

API-Penetrationstests überprüfen die Authentifizierung, die Autorisierung für einzelne Objekte und die Zugänglichkeit undokumentierter Endpunkte.

Zugehörige Dienstleistung ansehen Bewertung anfordern

Quellen

OAIC, Amt des australischen Informationsbeauftragten

Zusammenfassung auf Grundlage öffentlich verfügbarer Informationen. DIGITPOL war an diesem Vorfall nicht beteiligt.