O greșeală de securitate a pus în pericol datele a mii de copii. Parola pe care hackerii au spart-o într-o secundă

Un atac cibernetic din Marea Britanie, care a compromis datele personale a aproximativ 3.300 de persoane, majoritatea copii, a fost posibil din cauza unui cont de testare protejat de parola „Password1” (n.r – Parolă1), considerată extrem de vulnerabilă, relatează The Independent.

Autoritatea britanică pentru protecția datelor, Information Commissioner’s Office (ICO), a sancționat prin avertismente oficiale compania de telecomunicații Ogi Networks Limited (ONL) și organizația Data Cymru, care gestionează date pentru administrațiile locale din Țara Galilor, pentru încălcarea normelor GDPR.

Informațiile compromise proveneau din două proiecte destinate sprijinirii familiilor, motiv pentru care majoritatea persoanelor afectate erau copii.

Parola putea fi spartă în mai puțin de o secundă

Hackerii au exploatat un cont de testare numit „Test 2”, creat de ONL în rețeaua Data Cymru și rămas activ mai bine de 12 ani, deși nu mai era necesar.

Contul era protejat doar prin parola „Password1”, clasificată drept „foarte slabă” de un instrument specializat în evaluarea securității parolelor.

Potrivit ICO, aceasta putea fi compromisă în mai puțin de o secundă.

„Password1 nu este o parolă adecvată, ci o ușă larg deschisă pentru actorii rău intenționați”, a avertizat David Doodson, șeful departamentului de investigații al ICO.

„Acest incident arată cum o singură parolă slabă, asociată unui cont care nu mai era necesar, poate lăsa ușa deschisă unui atac cibernetic grav, care poate afecta mii de persoane”, a adăugat acesta.

Peste 180 GB de date, sustrase de atacatori

În urma atacului de tip ransomware, infractorii cibernetici au sustras peste 180 GB de date, dintre care 42 GB proveneau din sistemele Data Cymru.

Ancheta a stabilit că ONL nu aplicase cerințe adecvate privind complexitatea parolelor și nu efectuase verificări periodice ale conturilor din rețea.

Astfel, contul „Test 2”, creat în ianuarie 2012, a rămas activ mai bine de 12 ani, inclusiv peste șase ani după intrarea în vigoare a obligațiilor GDPR aplicabile companiei.

Autoritatea a constatat și că unele conturi din trei sisteme afectate păstraseră aceleași parole timp de peste 12 ani.

Data Cymru a fost criticată pentru că nu avea un contract cu ONL care să includă clauzele obligatorii de protecție a datelor și pentru că nu se asigurase că vechiul cont era eliminat sau actualizat conform noilor cerințe de securitate.

Avertisment pentru companii: O singură greșeală poate afecta mii de persoane

David Doodson a subliniat că responsabilitatea pentru incident aparținea ambelor organizații.

„Responsabilitatea pentru aceste deficiențe nu revenea unei singure organizații. ONL a creat contul de testare, în timp ce Data Cymru a păstrat controlul general asupra rețelei sale, inclusiv posibilitatea de a solicita ONL să creeze sau să elimine conturi. Niciuna dintre organizații nu implementase măsuri suficient de clare și eficiente pentru a se asigura că vechile conturi erau identificate și eliminate în mod regulat”, a explicat acesta.

Oficialul a insistat asupra importanței parolelor puternice, autentificării multifactor și verificării periodice a tuturor conturilor de utilizator.

„Lecția pentru fiecare organizație este simplă: folosiți parole puternice, protejați accesul de la distanță prin autentificare multifactor, verificați periodic fiecare cont de utilizator și stabiliți foarte clar cine este responsabil pentru securitatea cibernetică atunci când serviciile sunt externalizate. Măsurile de bază de securitate cibernetică nu sunt opționale, iar consecințele lipsei lor pot fi grave”, a avertizat Doodson.

După incident, ONL și Data Cymru au încheiat un contract de prelucrare a datelor conform cerințelor legale și au consolidat procedurile de verificare a conturilor, inclusiv prin introducerea autentificării multifactor.