O Ciberataque à Optus foi um dos maiores roubos de dados móveis da história da Austrália, que foi revelado ao público no dia 23 de setembro de 2022, quando a diretora da empresa, Kelly Bayer Rosmarin, anunciou publicamente que 9.8 milhões de usuários foram atingidos, apesar de ter corrigido o número para 1.2 milhões de usuários, além de outros 900 mil que tiveram dados desatualizados roubados. A Optus, junto com a Polícia Federal Australiana e outros órgãos governamentais, lançaram a Operation Guardian para identificar os australianos atingidos, monitorar a internet para identificar vazamento de dados e identificar e prender cibercriminosos e a Operation Hurricane para prender os envolvidos com o ataque. O FBI também está ajudando no caso. A Optus também é alvo de duas investigações para determinar o quão bem ela seguiu suas obrigações como empresa.

O ataque gerou uma série de repercussões políticas na Austrália. O país já havia visto o aumento dos ataques virtuais nos últimos anos, que levou a uma preocupação sobre a cibersegurança australiana. Também, está em discussão uma possível modificação nas leis de metadados do país, para que as penas para os ataques sejam endurecidas e as empresas não possam pegar dados generalizados e mantê-los por tempo inderteminado. Além disso, surgiram preocupações com as eleições da Tasmânia, por seu atraso tecnológico comparado aos outros estados. Outras discussões são o possível impacto em sistemas e equipamentos militares e o custo gerado pela emissão de novos documentos.

O governo federal australiano anunciou uma série de mudanças nas leis que afetam as empresas de telecomunicação. Entre as mudanças está a facilitação de troca de dados entre a Optus e outros órgãos governamentais.

Inicialmente, um usuário do fórum da dark web, BreachForums, anunciou que venderia os dados caso a Optus não pagasse AU$ 1.53 milhões e liberou os dados de 10 mil pessoas como provas. Porém, ele recuou, dizendo que roubou dados de apenas 10.200 pessoas e que não os venderia mais por conta da atenção que o caso estava recebendo.

A Austrália já passava por um aumento de ciberataques no país, com 2,266 incidentes registrados pelo Centro de Cibersegurança Australiano entre 1 de julho de 2019 e 30 de julho de 2020. O assunto era de preocupação governamental.^[1]

No fim de 2020, a Singtel, empresa dona da Optus, havia sido hackeada por uma vulnerabilidade de dia zero presente em um arquivo chamado Accellion FTA, afetando 129 mil clientes e 23 empresas. Os dados roubados incluiam número de identidade, nome, idade, número de celular e endereço residencial. 28 empregados da Singtel tiveram suas contas bancárias expostas e 45 clientes empresariais tiveram detalhes do cartão de crédito expostos.^[2]

Após o ataque hacker, outras empresas sofreram ataques similares. Entre elas, estão o Medibank^[3] e o Woolworths.^[4]

Vídeos externos
	A diretora da Optus, Kelly Bayer Rosmarin, admitiu publicamente no dia 23 de setembro que 9.8 milhões de usuários tiveram seus dados roubados

No dia 23 de setembro de 2022, a diretora da Optus, Kelly Bayer Rosmarin, admitiu publicamente em transmissão em suas redes sociais que a empresa sofreu um dos maiores roubos de dados móveis na história da Austrália, onde 9.8 milhões de usuários se enquadraram no que a empresa considera o "pior cenário possível".^[5] O vice-presidente da Optus, Andrew Sheridan, descreveu o ataque como sendo muito sofisticado.^[6] A empresa, porém, possuia seguro contra ataques cibernéticos.^[7] No dia 3 de outubro, Kelly Bayer postou vídeo corrigindo os números previamente divulgados. De acordo com a diretora da Optus, 1,2 milhões de usuários tiveram ao menos um dado comprometido, e cerca de 900 mil pessoas tiveram dados desatualizados roubados.^[8] Entre os dados roubados, estão nomes, datas de aniversário, endereço postal, números do Medicare, números de passaporte e números da carteira de motorista.^[1]

No dia 10 de outubro, a Singtel anunciou na Bolsa de Valores de Singapora que a empresa Dialog, subsidiária de uma subsidiária da Singtel, também foi hackeada, potencialmente expondo os dados de 20 clientes e mil empregados.^[2]

A Polícia Federal Australiana anunciou no mesmo dia que estaria investigando o caso junto com outros departamentos governamentais, e pediu que os australianos melhorassem sua segurança online.^[9] No dia 27, o Procurador Geral Mark Dreyfus anunciou que o FBI estava ajudando nas investigações.^[10]

No dia 30 de setembro, a foi anunciada a Operation Guardian, que conta com a parceria com a Polícia Federal Australiana, as polícias de todos os estados e territórios, o Centro de Cibersegurança Australiano, a Associação dos Bancos Australianos, IDCARE e a Associação dos Bancos Pertencentes ao Cliente. A operação busca identificar os australianos atingidos, monitorar a internet para identificar vazamento de dados e identificar e prender cibercriminosos.^[11][12] No mesmo dia, a Polícia Federal Australiana também anunciou a Operation Hurricane, uma colaboração entre as forças de segurança australiana, o setor privado e a indústria para identificar e prender os envolvidos no ataque à Optus.^[13]

O Gabinete do Comissário de Informação Australiana e a Autoridade Australiana de Comunicação e Mídia abriram duas investigações para determinar o quão bem a Optus seguiu suas obrigações como empresa, incluindo o armazenamento de dados e proteção contra fraudes.^[14][15] A empresa poderá sofrer multas de A$ 2,2 milhões para cada caso de transgressão de privacidade que for levado a corte.^[16]

No dia 12 de novembro, um dia após a localização dos hackers russos que invadiram o Medibank, a Ministra de Cibersegurança Clare O'Neil e o Procurador Geral Mark Dreifus anunciaram a criação de uma força-tarefa para investigar cibercrimes.^[17]

Um usuário do fórum de internet na dark web BreachForums conhecido como Optusdata anunciou que venderia os dados a não ser que a Optus pagasse AU$ 1.53 milhões em uma semana. Ele postou os dados de 10 mil pessoas como prova,^[18] e pessoas consultadas pelos jornais The Sydney Morning Herald e The Age afirmam que os dados parecem reais, exceto em um caso onde a pessoa não era cliente da Optus. Há a possibilidade de que as informações tivessem sido captadas por outras fontes. A Optus respondeu que estava investigando a veracidade das alegações.^[19] Posteriormente, foi postada uma mensagem no BreachForums, onde o suposto hacker anunciou que não venderia mais os dados pelo excesso de atenção que o caso gerou e pediu desculpas aos 10.200 australianos que tiveram os dados roubados por ele.^[20] Após a suspensão das ameaças, outros usuários do fórum passaram a chamá-lo de amador.^[21] O BreachForums também postou dados de pessoas obtidos no ciberataque à Singtel em 2020 e alguns da Dialog.^[2]

No dia 6 de outubro, a Polícia Federal Australiana prendeu Dennis Su, um garoto do bairro de Rockdale, em Sydney, de 19 anos, que usou os dados postados no BreachForums para extorquir 93 pessoas em A$ 2 mil. Ninguém pagou o valor pedido.^[22][23] Ele está sendo julgado na Corte Local de Dawning Centre, onde foi acusado de usar uma rede de telecomunicações para cometer uma ofença séria e uso indevido de informações pessoais. Ele poderá ser condenado até dez anos de encarceiramento.^[24][25] Ele admitiu ser culpado, alegando na corte que salvou os dados da internet com o objetivo de extorquir os clientes.^[26]

O valor das ações da Optus caiu drásticamente após o ataque, porém se estabilizou acima de parte de seus concorrentes.^[27] Até o dia 10 de novembro, a Optus gastou A$ 140 milhões com reposição de documentos e outros custos gerados pelo ataque.^[28]

A Optus passou a enviar notificações para os usuários que podem ter sido envolvidos, pedindo para tomarem cuidado com fraudes.^[6] Após sessão do parlamento, a Optus anunciou que daria um ano de inscrição para a Equifax Protect, e pediu por uma reforma na cibersegurança nacional.^[29] A empresa também comprou uma página inteira de anúncios nos principais jornais da Austrália, onde escreveu pedindo desculpas e divulgou um link onde os últimos acontecimentos seriam divulgados pela empresa.^[30] A Singtel alertou os stakeholders da Bolsa de Valores de Singapora sobre o ataque.^[31]

A Optus contratou a empresa Deloitte para fazer uma consultoria externa.^[8]

Houve denúncias de empresários e clientes que a Optus estava botando barreiras para as pessoas que tentaram trocar de operadora.^[32] A Optus, no entanto, nega as acusações.^[33] Também, a Optus pagou para mostrar a mensagem "antes de sair - podemos conversar?" quando algo relacionado a cancelar seus serviços fosse procurado no Google.^[34]

Diversos bancos colaboraram com o governo para identificar os criminosos.^[35] Empresas financeiras passaram a escanear a dark web atrás de dados dos seus clientes que podem ter sido vazados.^[36]

Mais de 30 mil empregados da Telstra tiveram seus dados vazados no BreachForum.^[37] 296,019 e-mails e números de clientes usuários da T-Connect, da Toyota, foram expostos. As ações da empresa caíram em 0,72%.^[38]

A empresa de proxy ISS emitiu relatório recomendando que os investidores da REA Group AGM votassem contra a reeleição de Rosemarin para a participação no grupo no dia 10 de novembro, cargo que ela ocupava desde janeiro, argumentando que ela teria cargos demais.^[39]

Até outubro, IDCARE, ONG que dá suporte para problemas relacioanados a documentação e segurança online, recebeu mais de 15 mil interações.^[40] O Banco Commonwealth recebeu 5 mil ligações por dia sobre o ataque.^[41] A Comissão Australiana de Competição e Consumidor registrou 600 casos de furtos e fraude pelo país.^[15] O Google registrou um aumento de 337% nas buscas por roubo de identidade.^[36] Empresas de seguro contra ataques cibernéticos tiveram uma alta em ligações relativas ao ataque,^[42] incluindo a Equifax,^[43] empresa que a Optus anunciou que daria um ano de inscrição aos seus clientes.

De acordo com a EFTM Mobile Phone Survey, 56% dos clientes da Optus estavam cogitando mudar de operadora, enquanto 10% já mudaram.^[44]

No dia 26 de setembro, a Ministra do Interior Clare O'Neil culpou a empresa pelo incidente, dizendo que se tratou de um ataque "simples",^[29] o que vai contra as alegações da Optus.^[6] Entre as pessoas que apoiam a hipótese, estão o tesoureiro assistente Stephen Jones e o âncora chefe da Sky News Australia Kieran Gilbert. Por causa da pequena quantia de dinheiro pedido pelo grupo, é especulado que o hacker seja apenas um indivíduo, e não alguma grande organização ou país.^[45] A Singtel corrobora a versão da empresa, e afirma estar trabalhando com o governo federal para proteger os clientes.^[7] Kelly Bayer Rosmarin afirma que é cedo demais para saber a natureza do ataque.^[46] O CEO da Optus, Paul O'Sullivan, afirmou que a empresa precisou reconstruir toda a base de dados de 20 terabytes. Portanto, o ataque seria de natureza complexa.^[47]

Outro ponto de atrito são a legislação sobre dados. As leis australianas sobre metadados não especificam quais dados as empresas de telefonia não podem coletar.^[48] Parte das pessoas que tiveram os dados roubados não eram clientes da Optus por anos, porém a diretora afirma que a empresa é obrigada por lei a guardar os dados por ao menos seis anos. Por lei, empresas realmente precisam guardar ao menos um meio de identificação por motivos de combate ao crime e o nome e endereço do cliente até dois anos após o encerramento dos serviços por causa do Telecommunication Interception and Access Act, porém nada mais do que isso.^[49] Outro fator é que não existe legislação específica que obrigue as empresas a deletarem dados antigos dos clientes.^[50] No dia 27 de setembro, o órgão governamental Services Australia escreveu para a Optus pedindo detalhes sobre os clientes que tiveram seus números do Medicare e Centrelink roubados. A empresa não respondeu, o que levou a críticas do Ministro de Serviços Governamentais Bill Shorten. Ele também pediu uma revisão das leis de cibersegurança da Austrália, o que levou o Ministro de Cibersegurança das Sombras James Paterson a dizer que o governo estava disposto a discutir o assunto.^[51] Kelly Bayer Rosmarin se defendeu afirmando que enviou os dados para o o escritório do Comissionário Australiano de Informações.^[46] O Ministro dos Assuntos Internos das Sombras Karen Andrews pediu uma pena maior para crimes cibernéticos.^[29] No dia 28 de setembro, o Primeiro-Ministro Anthony Albanese sinalizou sobre uma possível mudança na legislação.^[1] No dia 30, a proposta foi feita novamente pelo Procurador Geral Mark Dreyfus, que anunciou que empresas poderiam ter punições maiores por falhar em assegurar os dados de seus clientes. A Comissária de Privacidade Angelene Falk acusou a empresa de manter dados desnecessários ao seu modelo de negócio.^[52]

No dia 6 de outubro, o governo federal australiano anunciou uma série de mudanças na lei Telecommunications Regulations 2021.^[53] Entre as mudanças, está o acesso temporário de bancos aos números da carteira de motorista, Medicare e passaporte para melhorar o monitoramento da população, a facilitação de troca de informações entre a Optus e agências governamentais. O governo também pediu ao Conselho de Regulamentações Financeiras para analisar outras propostas para identificar riscos aos clientes.^[54]

Os governos estaduais passaram a emitir novos documentos para as pessoas afetadas pelo ciberataque, cobrando uma taxa de reposição. No dia 26 de setembro, o Ministro da Saúde Mark Butler anunciou que estava considerando emitir novos números de Medicare para os australianos afetados.^[35]

No dia 28 de setembro, o Ministro dos Assuntos Internos das Sombras Karen Andrews acusou a base governista de Anthony Albanese de não ter feito nenhum movimento para assegurar de que o governo estava ao lado do povo australiano, e convocou o Partido Trabalhista para lidar com os custos que os australianos teriam com a emissão de novos passaportes, proposta que foi apoiada pelo Ministro de Relações Exteriores das Sombras Simon Birmingham e o Ministro de Cyber Segurança James Paterson. O Primeiro-Ministro Anthony Albanese, porém, queria que a própria Optus cobrisse os custos dos passaportes, opinião que foi oficializada em carta da Ministra das Relações Exteriores Penny Wong à empresa. Kelly Bayer Rosmarin respondeu que as pessoas afetadas não teriam gastos se pedissem por um passaporte substituto.^[55]

No dia 14 de outubro, Rosmarin anunciou que os clientes não precisariam mais trocar seus passaportes, por causa do trabalho conjunto da empresa com três departamentos governamentais para assegurar a proteção das pessoas afetadas.^[33] Apesar disso, australianos não podem mais usar o passaporte como comprovante de identidade online no Sistema de Verificação de Documentos por três anos a pedido da empresa, para evitar o uso fraudulento do documento. Porém, caso um novo passaporte seja emitido, ele poderá ser usado no sistema.^[56]

No dia 30 de outubro, o Departamento de Transportes de Vitória anunciou que emitiriam uma novas carteiras de motoristas para os 947 mil australianos afetados no estado. A nova carteira tem uma camada extra de proteção, similar ao número de segurança no cartão de crédito, que será o novo padrão.^[57]

Depois de mais de um mês sem falar no assunto,^[58] no dia 11 de novembro a Optus anunciou que também cobraria os custos dos passaportes estrangeiros.^[59]

O ataque também gerou preocupações sobre as eleições na Tasmânia. De acordo com a Comissária Eleitoral Andrew Hawkey, o estado não possui base eleitoral fixa, o que levou o governo a alugar um galpão de maneira improvisada e a usar o Wi-Fi de um café local por falta de acesso à internet. O estado já foi vítima de outros ciberataques, como quando a Câmara Municipal de Burnie foi invadida e os moradores das cidades vizinhas tiveram seus números de arquivo fiscal roubados. A comissão, porém, investiu em um local fixo para as próximas eleições e melhorou os sistemas de TI, mas ainda é um processo em andamento.^[60]

Além disso, há a preocupação com os sistemas de defesa australianos. A Optus possui diversos contratos relativos à defesa do país, e entre os dados liberados pelo BreachForums, estão e-mails ligados à defesa e outros órgãos governamentais. Porém, até então, não foi identificado nenhum impacto aos sistemas e equipamentos militares.^[61]

• Portal da Austrália