Austraalia andmekaitsevolinik avalikustas, et 2025. aasta suur andmeleke lennufirmas Qantas, mille käigus lekkisid 5,7 miljoni kliendi isikuandmed, oli tingitud IT-toe pettusest. Volinik leidis, et Qantas ei rikkunud oma privaatsuskohustusi, ning otsustas ametlikku uurimist mitte alustada.
Qantas on varem tunnistanud, et intsident oli klienditeeninduskeskuse vastu suunatud sotsiaalse manipulatsiooni rünnak. Voliniku raport täpsustab, et ründaja väitis end esindavat Qantase IT-tuge ja palus klienditeeninduse töötajal avada CRM-süsteem ning teha teatud toiminguid tugipileti sulgemiseks. Need toimingud aga ühendasid CRM-i andmete väljavõtu tööriistaga, mille kaudu kurjategijad kliendiandmed kätte said.
Volinik hindas, kas Qantas järgis Austraalia privaatsuspõhimõtteid (APP), ja leidis, et lennufirma oli auditeerinud klienditeeninduskeskuse haldajat, testinud töötajate turvateadlikkust ning korraldanud kohustuslikke koolitusi. Samuti kasutas Qantas rollipõhist juurdepääsukontrolli. Volinik Carly Kind märkis, et Qantas ei oleks saanud vishing-rünnakut mõistlikult ette näha ega ära hoida.