Optus 让一个 API 暴露在外，1000 万澳大利亚人的身份数据泄露

2022 年 9 月下旬，澳大利亚第二大电信运营商 Optus 披露了一起数据泄露，暴露了最多 1000 万名现有和过往客户的人信息。被泄露的数据包括姓名、出生日期、联系方式，以及——关键的是——约 210 万人的护照和驾照号码，这类可用于欺诈的身份文件。

原因不是一起复杂攻击，而是一个编码疏漏。一个接收客户请求的应用程序接口在没有适当访问控制的情况下暴露在互联网上，让攻击者得以查询客户记录。该泄露于 2022 年 9 月的第三周被发现，Optus 表示客户身份文件已遭到入侵。

财务和监管后果严重。Optus 的母公司 Singtel 预留了 1.4 亿澳元以覆盖这起事件的成本。澳大利亚隐私监管机构 OAIC 和通信监管机构 ACMA 展开调查，政府资助了一场 550 万澳元的公众意识宣传活动。由律师事务所 Slater and Gordon 牵头的集体诉讼招来约 10 万名寻求赔偿的客户。

这次失败背后的决定是一个工程决定：一个面向客户的 API 在没有本应让它保持私密的访问控制检查的情况下就被部署，而服务上线时也没有把身份数据当作它是的那种敏感资产来对待。一个配置错误就让数百万澳大利亚人的身份记录置身险境。