O parolă slabă a expus datele a mii de copii într-un atac cibernetic din Marea Britanie
Datele personale a aproximativ 3.300 de persoane, majoritatea copii, au fost compromise într-un atac cibernetic produs în Marea Britanie, ca urmare a unei parole extrem de slabe asociate unui cont de testare rămas activ mai bine de 12 ani.
Contul, denumit „Test 2”, fusese creat de compania de telecomunicații Ogi Networks Limited (ONL) în rețeaua administrată de organizația Data Cymru, care gestionează date pentru administrațiile locale din Țara Galilor. Contul era protejat doar prin parola „Password1”, considerată „foarte slabă” de un instrument specializat în evaluarea securității parolelor. Potrivit autorității britanice pentru protecția datelor, Information Commissioner’s Office (ICO), parola putea fi spartă în mai puțin de o secundă.
Informații compromise din două proiecte pentru familii
Datele expuse proveneau din două proiecte destinate sprijinirii familiilor, motiv pentru care majoritatea persoanelor afectate erau copii. În urma atacului de tip ransomware, infractorii cibernetici au sustras peste 180 GB de date, dintre care 42 GB proveneau din sistemele Data Cymru.
Ancheta a stabilit că ONL nu aplicase cerințe adecvate privind complexitatea parolelor și nu efectuase verificări periodice ale conturilor din rețea. Contul „Test 2”, creat în ianuarie 2012, a rămas activ mai bine de 12 ani, inclusiv peste șase ani după intrarea în vigoare a obligațiilor GDPR aplicabile companiei. Autoritatea a constatat și că unele conturi din trei sisteme afectate păstraseră aceleași parole timp de peste 12 ani.
Data Cymru a fost criticată pentru că nu avea un contract cu ONL care să includă clauzele obligatorii de protecție a datelor și pentru că nu se asigurase că vechiul cont era eliminat sau actualizat conform noilor cerințe de securitate. ICO a sancționat prin avertismente oficiale ambele organizații pentru încălcarea normelor GDPR.
„O ușă larg deschisă pentru actorii rău intenționați”
„Password1 nu este o parolă adecvată, ci o ușă larg deschisă pentru actorii rău intenționați”, a avertizat David Doodson, șeful departamentului de investigații al ICO. „Acest incident arată cum o singură parolă slabă, asociată unui cont care nu mai era necesar, poate lăsa ușa deschisă unui atac cibernetic grav, care poate afecta mii de persoane”, a adăugat acesta.
Doodson a subliniat că responsabilitatea pentru incident aparținea ambelor organizații. „Responsabilitatea pentru aceste deficiențe nu revenea unei singure organizații. ONL a creat contul de testare, în timp ce Data Cymru a păstrat controlul general asupra rețelei sale, inclusiv posibilitatea de a solicita ONL să creeze sau să elimine conturi. Niciuna dintre organizații nu implementase măsuri suficient de clare și eficiente pentru a se asigura că vechile conturi erau identificate și eliminate în mod regulat”, a explicat oficialul.
Recomandări pentru organizații
Reprezentantul ICO a insistat asupra importanței parolelor puternice, autentificării multifactor și verificării periodice a tuturor conturilor de utilizator. „Lecția pentru fiecare organizație este simplă: folosiți parole puternice, protejați accesul de la distanță prin autentificare multifactor, verificați periodic fiecare cont de utilizator și stabiliți foarte clar cine este responsabil pentru securitatea cibernetică atunci când serviciile sunt externalizate. Măsurile de bază de securitate cibernetică nu sunt opționale, iar consecințele lipsei lor pot fi grave”, a avertizat Doodson.
După incident, ONL și Data Cymru au încheiat un contract de prelucrare a datelor conform cerințelor legale și au consolidat procedurile de verificare a conturilor, inclusiv prin introducerea autentificării multifactor.
