Casus van een beveiligingsinbreuk · Azië-Pacific · September 2022

Datalek van klantgegevens bij Optus

Een van de grootste telecomaanbieders van Australië maakte een datalek bekend dat miljoenen huidige en voormalige klanten trof.

Incident

Wat er is gebeurd

Optus maakte bekend dat onbevoegden toegang hadden verkregen tot persoonsgegevens van klanten, waaronder voor sommige klanten de nummers van identiteitsdocumenten.

In openbare berichtgeving werd de toegang toegeschreven aan een blootgestelde application programming interface (API).

Het incident leidde tot onderzoeken door Australische toezichthouders en wijzigingen in de sancties voor overtredingen van de privacywetgeving.

Analyse

Geleerde lessen

API's moeten authenticatie en autorisatie afdwingen op elk endpoint.

Test- en verouderde endpoints moeten worden geïnventariseerd en buiten gebruik worden gesteld.

Dataminimalisatie beperkt de impact bij een datalek.

Preventie

Hoe penetratietests helpen

API-penetratests controleren de authenticatie, autorisatie voor afzonderlijke objecten en blootstelling van ongedocumenteerde endpoints.

Gerelateerde dienst bekijken Vraag een beoordeling aan

Bronnen

OAIC, Office of the Australian Information Commissioner

Samenvatting op basis van openbaar beschikbare informatie. DIGITPOL was niet betrokken bij dit incident.