Хакеры украли данные 3300 человек, в основном детей, из-за пароля «Password1»

Главное в материале

Хакеры зашифровали 182,7 ГБ данных и похитили 42 ГБ из систем Data Cymru в ходе ransomware-атаки 1 ноября 2024 года
Тестовый аккаунт Test2, созданный ONL в 2012 году, существовал более 12 лет с паролем «Password1» и не проходил аудита
Обе компании признаны нарушившими UK GDPR; после инцидента они усилили меры безопасности и 30 апреля 2025 года заключили договор об обработке данных

Слабый пароль открыл доступ к данным тысяч людей

Хакеры украли информацию о тысячах детей, получив доступ к аккаунту, защищённому паролем «Password1», сообщила британская комиссия по защите данных (ICO). Атака на системы Data Cymru произошла 1 ноября 2024 года. ICO вынесло выговор Ogi Networks Limited (ONL), предоставлявшей IT-услуги Data Cymru, и самой Data Cymru. В результате атаки была раскрыта персональная информация 3300 человек, в основном детей. Злоумышленники использовали тестовый аккаунт под названием Test2, который существовал более 12 лет и был защищён паролем, поддающимся взлому менее чем за секунду.

Ход атаки и масштаб утечки

В ходе ransomware-атаки хакеры зашифровали 182,7 ГБ данных и похитили 42 ГБ из систем Data Cymru. Утечка затронула персональные данные, связанные с двумя проектами поддержки детей и семей.

Нарушения UK GDPR

Обе организации, по выводам регулятора, нарушили правила UK GDPR, не обеспечив должную защиту систем и не проверяя регулярно эффективность мер безопасности. По данным ICO, ONL создала тестовый аккаунт в 2012 году с паролем «Password1» и более 12 лет не проводила его аудит и не удаляла его. Компания также не пересматривала локальные администраторские аккаунты после их развёртывания: аккаунты на трёх затронутых системах использовали один и тот же пароль в течение того же периода. ICO отметило, что Data Cymru не заключила с ONL соглашение о защите данных, из-за чего возник разрыв в зонах ответственности между организациями, а также не обеспечила выявление и удаление неактивного тестового аккаунта или его приведение в соответствие с более строгими требованиями к паролям.

Реакция регулятора и компаний

Глава отдела расследований ICO Дэвид Дудсон заявил: «Password1 — не подходящий пароль, это распахнутая дверь для злоумышленников». По его словам, инцидент показывает, как один слабый пароль, привязанный к уже ненужному аккаунту, может открыть путь к серьёзной кибератаке, затрагивающей тысячи людей. Дудсон добавил, что ответственность «за эти провалы не лежала на одной организации». ONL заявила, что аккаунт «должен был быть удалён задолго до того, как преступники смогли его использовать», и что она приняла выводы ICO и «действовала по ним». Data Cymru не ответила на запрос о комментарии.

Меры после инцидента

После атаки обе организации усилили меры безопасности. ONL внедрила процесс периодической проверки активных аккаунтов клиентов с рекомендациями по удалению ненужных, а также укрепила контроль доступа, включая многофакторную аутентификацию. 30 апреля 2025 года Data Cymru и ONL заключили соответствующий закону договор об обработке данных. Data Cymru также ввела периодические проверки аккаунтов и усилила контроль доступа с использованием многофакторной аутентификации. Представитель ONL сообщил, что в течение недели после атаки компания совместно с Data Cymru проверила все аккаунты в её сети и в тот же день отключила ненужные, а также привлекла независимых специалистов по кибербезопасности для расследования. По словам представителя, инцидент затронул только сервер, размещённый для Data Cymru, и информация других клиентов ONL не пострадала.

Выводы ICO

ICO подчеркнуло, что инцидент — урок для каждой организации: использовать надёжные пароли, защищать удалённый доступ многофакторной аутентификацией, регулярно проверять все учётные записи и чётко определять, кто отвечает за кибербезопасность при передаче услуг на аутсорс.