# Ciberataque à Optus

O Ciberataque à Optus foi um dos maiores roubos de dados móveis da história da Austrália, que foi revelado ao público no dia 23 de setembro de 2022, quando a diretora da empresa, Kelly Bayer Rosmarin, anunciou publicamente que 9.8 milhões de usuários foram atingidos, apesar de ter corrigido o número para 1.2 milhões de usuários, além de outros 900 mil que tiveram dados desatualizados roubados. A Optus, junto com a Polícia Federal Australiana e outros órgãos governamentais, lançaram a Operation Guardian para identificar os australianos atingidos, monitorar a internet para identificar vazamento de dados e identificar e prender cibercriminosos e a Operation Hurricane para prender os envolvidos com o ataque. O FBI também está ajudando no caso. A Optus também é alvo de duas investigações para determinar o quão bem ela seguiu suas obrigações como empresa.
O ataque gerou uma série de repercussões políticas na Austrália. O país já havia visto o aumento dos ataques virtuais nos últimos anos, que levou a uma preocupação sobre a cibersegurança australiana. Também, está em discussão uma possível modificação nas leis de metadados do país, para que as penas para os ataques sejam endurecidas e as empresas não possam pegar dados generalizados e mantê-los por tempo inderteminado. Além disso, surgiram preocupações com as eleições da Tasmânia, por seu atraso tecnológico comparado aos outros estados. Outras discussões são o possível impacto em sistemas e equipamentos militares e o custo gerado pela emissão de novos documentos.
O governo federal australiano anunciou uma série de mudanças nas leis que afetam as empresas de telecomunicação. Entre as mudanças está a facilitação de troca de dados entre a Optus e outros órgãos governamentais.
Inicialmente, um usuário do fórum da dark web, BreachForums, anunciou que venderia os dados caso a Optus não pagasse AU$ 1.53 milhões e liberou os dados de 10 mil pessoas como provas. Porém, ele recuou, dizendo que roubou dados de apenas 10.200 pessoas e que não os venderia mais por conta da atenção que o caso estava recebendo.

## Antecedentes

A Austrália já passava por um aumento de ciberataques no país, com 2,266 incidentes registrados pelo Centro de Cibersegurança Australiano entre 1 de julho de 2019 e 30 de julho de 2020. O assunto era de preocupação governamental.
No fim de 2020, a Singtel, empresa dona da Optus, havia sido hackeada por uma vulnerabilidade de dia zero presente em um arquivo chamado Accellion FTA, afetando 129 mil clientes e 23 empresas. Os dados roubados incluiam número de identidade, nome, idade, número de celular e endereço residencial. 28 empregados da Singtel tiveram suas contas bancárias expostas e 45 clientes empresariais tiveram detalhes do cartão de crédito expostos.
Após o ataque hacker, outras empresas sofreram ataques similares. Entre elas, estão o Medibank e o Woolworths.

## Ataque

No dia 23 de setembro de 2022, a diretora da Optus, Kelly Bayer Rosmarin, admitiu publicamente em transmissão em suas redes sociais que a empresa sofreu um dos maiores roubos de dados móveis na história da Austrália, onde 9.8 milhões de usuários se enquadraram no que a empresa considera o "pior cenário possível". O vice-presidente da Optus, Andrew Sheridan, descreveu o ataque como sendo muito sofisticado. A empresa, porém, possuia seguro contra ataques cibernéticos. No dia 3 de outubro, Kelly Bayer postou vídeo corrigindo os números previamente divulgados. De acordo com a diretora da Optus, 1,2 milhões de usuários tiveram ao menos um dado comprometido, e cerca de 900 mil pessoas tiveram dados desatualizados roubados. Entre os dados roubados, estão nomes, datas de aniversário, endereço postal, números do Medicare, números de passaporte e números da carteira de motorista.
No dia 10 de outubro, a Singtel anunciou na Bolsa de Valores de Singapora que a empresa Dialog, subsidiária de uma subsidiária da Singtel, também foi hackeada, potencialmente expondo os dados de 20 clientes e mil empregados.

## Investigação

A Polícia Federal Australiana anunciou no mesmo dia que estaria investigando o caso junto com outros departamentos governamentais, e pediu que os australianos melhorassem sua segurança online. No dia 27, o Procurador Geral Mark Dreyfus anunciou que o FBI estava ajudando nas investigações.
No dia 30 de setembro, a foi anunciada a Operation Guardian, que conta com a parceria com a Polícia Federal Australiana, as polícias de todos os estados e territórios, o Centro de Cibersegurança Australiano, a Associação dos Bancos Australianos, IDCARE e a Associação dos Bancos Pertencentes ao Cliente. A operação busca identificar os australianos atingidos, monitorar a internet para identificar vazamento de dados e identificar e prender cibercriminosos. No mesmo dia, a Polícia Federal Australiana também anunciou a Operation Hurricane, uma colaboração entre as forças de segurança australiana, o setor privado e a indústria para identificar e prender os envolvidos no ataque à Optus.
O Gabinete do Comissário de Informação Australiana e a Autoridade Australiana de Comunicação e Mídia abriram duas investigações para determinar o quão bem a Optus seguiu suas obrigações como empresa, incluindo o armazenamento de dados e proteção contra fraudes. A empresa poderá sofrer multas de A$ 2,2 milhões para cada caso de transgressão de privacidade que for levado a corte.
No dia 12 de novembro, um dia após a localização dos hackers russos que invadiram o Medibank, a Ministra de Cibersegurança Clare O'Neil e o Procurador Geral Mark Dreifus anunciaram a criação de uma força-tarefa para investigar cibercrimes.

### Pedido de resgate

Um usuário do fórum de internet na dark web BreachForums conhecido como Optusdata anunciou que venderia os dados a não ser que a Optus pagasse AU$ 1.53 milhões em uma semana. Ele postou os dados de 10 mil pessoas como prova, e pessoas consultadas pelos jornais The Sydney Morning Herald e The Age afirmam que os dados parecem reais, exceto em um caso onde a pessoa não era cliente da Optus. Há a possibilidade de que as informações tivessem sido captadas por outras fontes. A Optus respondeu que estava investigando a veracidade das alegações. Posteriormente, foi postada uma mensagem no BreachForums, onde o suposto hacker anunciou que não venderia mais os dados pelo excesso de atenção que o caso gerou e pediu desculpas aos 10.200 australianos que tiveram os dados roubados por ele. Após a suspensão das ameaças, outros usuários do fórum passaram a chamá-lo de amador. O BreachForums também postou dados de pessoas obtidos no ciberataque à Singtel em 2020 e alguns da Dialog.

### Prisões

No dia 6 de outubro, a Polícia Federal Australiana prendeu Dennis Su, um garoto do bairro de Rockdale, em Sydney, de 19 anos, que usou os dados postados no BreachForums para extorquir 93 pessoas em A$ 2 mil. Ninguém pagou o valor pedido. Ele está sendo julgado na Corte Local de Dawning Centre, onde foi acusado de usar uma rede de telecomunicações para cometer uma ofença séria e uso indevido de informações pessoais. Ele poderá ser condenado até dez anos de encarceiramento. Ele admitiu ser culpado, alegando na corte que salvou os dados da internet com o objetivo de extorquir os clientes.

## Impacto financeiro

O valor das ações da Optus caiu drásticamente após o ataque, porém se estabilizou acima de parte de seus concorrentes. Até o dia 10 de novembro, a Optus gastou A$ 140 milhões com reposição de documentos e outros custos gerados pelo ataque.

## Reações
### Reações da Optus

A Optus passou a enviar notificações para os usuários que podem ter sido envolvidos, pedindo para tomarem cuidado com fraudes. Após sessão do parlamento, a Optus anunciou que daria um ano de inscrição para a Equifax Protect, e pediu por uma reforma na cibersegurança nacional. A empresa também comprou uma página inteira de anúncios nos principais jornais da Austrália, onde escreveu pedindo desculpas e divulgou um link onde os últimos acontecimentos seriam divulgados pela empresa. A Singtel alertou os stakeholders da Bolsa de Valores de Singapora sobre o ataque.
A Optus contratou a empresa Deloitte para fazer uma consultoria externa.
Houve denúncias de empresários e clientes que a Optus estava botando barreiras para as pessoas que tentaram trocar de operadora. A Optus, no entanto, nega as acusações. Também, a Optus pagou para mostrar a mensagem "antes de sair - podemos conversar?" quando algo relacionado a cancelar seus serviços fosse procurado no Google.

### Setor privado

Diversos bancos colaboraram com o governo para identificar os criminosos. Empresas financeiras passaram a escanear a dark web atrás de dados dos seus clientes que podem ter sido vazados.
Mais de 30 mil empregados da Telstra tiveram seus dados vazados no BreachForum. 296,019 e-mails e números de clientes usuários da T-Connect, da Toyota, foram expostos. As ações da empresa caíram em 0,72%.
A empresa de proxy ISS emitiu relatório recomendando que os investidores da REA Group AGM votassem contra a reeleição de Rosemarin para a participação no grupo no dia 10 de novembro, cargo que ela ocupava desde janeiro, argumentando que ela teria cargos demais.

### Australianos

Até outubro, IDCARE, ONG que dá suporte para problemas relacioanados a documentação e segurança online, recebeu mais de 15 mil interações. O Banco Commonwealth recebeu 5 mil ligações por dia sobre o ataque. A Comissão Australiana de Competição e Consumidor registrou 600 casos de furtos e fraude pelo país. O Google registrou um aumento de 337% nas buscas por roubo de identidade. Empresas de seguro contra ataques cibernéticos tiveram uma alta em ligações relativas ao ataque, incluindo a Equifax, empresa que a Optus anunciou que daria um ano de inscrição aos seus clientes.
De acordo com a EFTM Mobile Phone Survey, 56% dos clientes da Optus estavam cogitando mudar de operadora, enquanto 10% já mudaram.

### Repercussões políticas
#### Complexidade do ataque

No dia 26 de setembro, a Ministra do Interior Clare O'Neil culpou a empresa pelo incidente, dizendo que se tratou de um ataque "simples", o que vai contra as alegações da Optus. Entre as pessoas que apoiam a hipótese, estão o tesoureiro assistente Stephen Jones e o âncora chefe da Sky News Australia Kieran Gilbert. Por causa da pequena quantia de dinheiro pedido pelo grupo, é especulado que o hacker seja apenas um indivíduo, e não alguma grande organização ou país. A Singtel corrobora a versão da empresa, e afirma estar trabalhando com o governo federal para proteger os clientes. Kelly Bayer Rosmarin afirma que é cedo demais para saber a natureza do ataque. O CEO da Optus, Paul O'Sullivan, afirmou que a empresa precisou reconstruir toda a base de dados de 20 terabytes. Portanto, o ataque seria de natureza complexa.

#### Mudança de legislação

Outro ponto de atrito são a legislação sobre dados. As leis australianas sobre metadados não especificam quais dados as empresas de telefonia não podem coletar. Parte das pessoas que tiveram os dados roubados não eram clientes da Optus por anos, porém a diretora afirma que a empresa é obrigada por lei a guardar os dados por ao menos seis anos. Por lei, empresas realmente precisam guardar ao menos um meio de identificação por motivos de combate ao crime e o nome e endereço do cliente até dois anos após o encerramento dos serviços por causa do Telecommunication Interception and Access Act, porém nada mais do que isso. Outro fator é que não existe legislação específica que obrigue as empresas a deletarem dados antigos dos clientes. No dia 27 de setembro, o órgão governamental Services Australia escreveu para a Optus pedindo detalhes sobre os clientes que tiveram seus números do Medicare e Centrelink roubados. A empresa não respondeu, o que levou a críticas do Ministro de Serviços Governamentais Bill Shorten. Ele também pediu uma revisão das leis de cibersegurança da Austrália, o que levou o Ministro de Cibersegurança das Sombras James Paterson a dizer que o governo estava disposto a discutir o assunto. Kelly Bayer Rosmarin se defendeu afirmando que enviou os dados para o o escritório do Comissionário Australiano de Informações. O Ministro dos Assuntos Internos das Sombras Karen Andrews pediu uma pena maior para crimes cibernéticos. No dia 28 de setembro, o Primeiro-Ministro Anthony Albanese sinalizou sobre uma possível mudança na legislação. No dia 30, a proposta foi feita novamente pelo Procurador Geral Mark Dreyfus, que anunciou que empresas poderiam ter punições maiores por falhar em assegurar os dados de seus clientes. A Comissária de Privacidade Angelene Falk acusou a empresa de manter dados desnecessários ao seu modelo de negócio.
No dia 6 de outubro, o governo federal australiano anunciou uma série de mudanças na lei Telecommunications Regulations 2021. Entre as mudanças, está o acesso temporário de bancos aos números da carteira de motorista, Medicare e passaporte para melhorar o monitoramento da população, a facilitação de troca de informações entre a Optus e agências governamentais. O governo também pediu ao Conselho de Regulamentações Financeiras para analisar outras propostas para identificar riscos aos clientes.

#### Reposição de documentos

Os governos estaduais passaram a emitir novos documentos para as pessoas afetadas pelo ciberataque, cobrando uma taxa de reposição. No dia 26 de setembro, o Ministro da Saúde Mark Butler anunciou que estava considerando emitir novos números de Medicare para os australianos afetados.
No dia 28 de setembro, o Ministro dos Assuntos Internos das Sombras Karen Andrews acusou a base governista de Anthony Albanese de não ter feito nenhum movimento para assegurar de que o governo estava ao lado do povo australiano, e convocou o Partido Trabalhista para lidar com os custos que os australianos teriam com a emissão de novos passaportes, proposta que foi apoiada pelo Ministro de Relações Exteriores das Sombras Simon Birmingham e o Ministro de Cyber Segurança James Paterson. O Primeiro-Ministro Anthony Albanese, porém, queria que a própria Optus cobrisse os custos dos passaportes, opinião que foi oficializada em carta da Ministra das Relações Exteriores Penny Wong à empresa. Kelly Bayer Rosmarin respondeu que as pessoas afetadas não teriam gastos se pedissem por um passaporte substituto.
No dia 14 de outubro, Rosmarin anunciou que os clientes não precisariam mais trocar seus passaportes, por causa do trabalho conjunto da empresa com três departamentos governamentais para assegurar a proteção das pessoas afetadas. Apesar disso, australianos não podem mais usar o passaporte como comprovante de identidade online no Sistema de Verificação de Documentos por três anos a pedido da empresa, para evitar o uso fraudulento do documento. Porém, caso um novo passaporte seja emitido, ele poderá ser usado no sistema.
No dia 30 de outubro, o Departamento de Transportes de Vitória anunciou que emitiriam uma novas carteiras de motoristas para os 947 mil australianos afetados no estado. A nova carteira tem uma camada extra de proteção, similar ao número de segurança no cartão de crédito, que será o novo padrão.
Depois de mais de um mês sem falar no assunto, no dia 11 de novembro a Optus anunciou que também cobraria os custos dos passaportes estrangeiros.

#### Eleições

O ataque também gerou preocupações sobre as eleições na Tasmânia. De acordo com a Comissária Eleitoral Andrew Hawkey, o estado não possui base eleitoral fixa, o que levou o governo a alugar um galpão de maneira improvisada e a usar o Wi-Fi de um café local por falta de acesso à internet. O estado já foi vítima de outros ciberataques, como quando a Câmara Municipal de Burnie foi invadida e os moradores das cidades vizinhas tiveram seus números de arquivo fiscal roubados. A comissão, porém, investiu em um local fixo para as próximas eleições e melhorou os sistemas de TI, mas ainda é um processo em andamento.

#### Defesa

Além disso, há a preocupação com os sistemas de defesa australianos. A Optus possui diversos contratos relativos à defesa do país, e entre os dados liberados pelo BreachForums, estão e-mails ligados à defesa e outros órgãos governamentais. Porém, até então, não foi identificado nenhum impacto aos sistemas e equipamentos militares.