Xakerlar «Password1» paroli tufayli 3300 kishi, asosan bolalar ma'lumotlarini o'girladi

Asosiy ma’lumotlar

Xakerlar 2024-yil 1-noyabrdagi ransomware-hujumda 182,7 GB ma'lumotni shifrlab, Data Cymru tizimlaridan 42 GB o'girlagan
ONL 2012-yilda yaratgan Test2 test akkaunti 12 yildan ortiq «Password1» paroli bilan mavjud bo'lgan va audit qilinmagan
Ikkala kompaniya UK GDPR buzilgan deb topilgan; hodisadan keyin ular xavfsizlik choralarini kuchaytirib, 2025-yil 30-aprelda ma'lumotlarni qayta ishlash to'g'risida shartnoma tuzgan

Kuchsiz parol minglab odamlar ma'lumotlariga kirish yo'lini ochdi

Xakerlar «Password1» paroli bilan himoyalangan akkauntga kirib, minglab bolalar haqidagi ma'lumotlarni o'girladi, deb xabar berdi Britaniya ma'lumotlarni himoya qilish komissiyasi (ICO). Data Cymru tizimlariga hujum 2024-yil 1-noyabrda sodir bo'ldi. ICO Data Cymru'ga IT-xizmatlar ko'rsatgan Ogi Networks Limited (ONL) hamda Data Cymru'ning o'ziga ogohlantirish berdi. Hujum natijasida 3300 kishining, asosan bolalarning shaxsiy ma'lumotlari oshkor bo'ldi. Jinoyatchilar Test2 deb nomlangan, 12 yildan ortiq mavjud bo'lgan va bir sonchadan kam vaqtda buzib bo'ladigan parol bilan himoyalangan test akkauntdan foydalandi.

Hujum borishi va sizish miqyosi

Ransomware-hujum davomida xakerlar 182,7 GB ma'lumotni shifrlab, Data Cymru tizimlaridan 42 GB o'girladi. Sizish bolalar va oilalarni qo'llab-quvvatlashning ikki loyihasi bilan bog'liq shaxsiy ma'lumotlarga ta'sir qildi.

UK GDPR buzilishlari

Regulyator xulosasiga ko'ra, ikkala tashkilot ham tizimlarga yetarli himoya bermagan va xavfsizlik choralari samaradorligini muntazam tekshirmagani uchun UK GDPR qoidalarini buzgan. ICO ma'lumotlariga ko'ra, ONL 2012-yilda «Password1» paroli bilan test akkaunt yaratgan va 12 yildan ortiq vaqt davomida uni audit qilmagan hamda o'chirmagan. Kompaniya, shuningdek, mahalliy administrator akkauntlarini joylashtirilgandan keyin qayta ko'rib chiqmagan: uchta ta'sirlangan tizimdagi akkauntlar shu davr davomida bir xil paroldan foydalangan. ICO Data Cymru ONL bilan ma'lumotlarni himoya qilish to'g'risida kelishuv tuzmaganini, bu esa tashkilotlar o'rtasida javobgarlik zonalari bo'shlig'ini keltirib chiqarganini, shuningdek, faol bo'lmagan test akkauntni aniqlash va o'chirishni yoki uni parollarga qo'yiladigan qat'iyroq talablarga moslashtirishni ta'minlamaganini qayd etdi.

Regulyator va kompaniyalarning reaksiyasi

ICO tergov bo'limi boshlig'i Devid Dudson shunday dedi: «Password1 — mos parol emas, bu jinoyatchilar uchun ochiq eshik». Uning so'zlariga ko'ra, hodisa allaqachon keraksiz akkauntga bog'langan bitta kuchsiz parol minglab odamlarga ta'sir qiladigan jiddiy kiberhujumga yo'l ochishi mumkinligini ko'rsatadi. Dudson «bu muvaffaqiyatsizliklar uchun javobgarlik bitta tashkilotga tegishli emas» degan. ONL akkaunt «jinoyatchilar undan foydalana olishidan ancha oldin o'chirilishi kerak edi», deb bildirdi va ICO xulosalarini qabul qilib, «ular bo'yicha harakat qilganini» aytdi. Data Cymru izoh so'roviga javob bermadi.

Hodisadan keyingi chora-tadbirlar

Hujumdan keyin ikkala tashkilot xavfsizlik choralarini kuchaytirdi. ONL keraksiz akkauntlarni o'chirish bo'yicha tavsiyalar bilan mijozlarning faol akkauntlarini davriy tekshirish jarayonini joriy qildi, shuningdek, ko'pfaktorli autentifikatsiya, jumladan, kirish nazoratini mustahkamladi. 2025-yil 30-aprelda Data Cymru va ONL qonunga muvofiq ma'lumotlarni qayta ishlash to'g'risida shartnoma tuzdi. Data Cymru ham akkauntlarning davriy tekshiruvlarini joriy qildi va ko'pfaktorli autentifikatsiyadan foydalanib, kirish nazoratini kuchaytirdi. ONL vakili hujumdan keyingi bir hafta ichida kompaniya Data Cymru bilan birgalikda tarmog'idagi barcha akkauntlarni tekshirganini, keraksizlarini o'sha kuni o'chirganini va tergov uchun mustaqil kiberxavfsizlik mutaxassislarini jalb qilganini ma'lum qildi. Vakil so'zlariga ko'ra, hodisa faqat Data Cymru uchun joylashtirilgan serverga ta'sir qilgan va ONL boshqa mijozlarining ma'lumotlari zarar ko'rmagan.

ICO xulosalari

ICO hodisa har bir tashkilot uchun dars ekanini ta'kidladi: ishonchli parollardan foydalanish, masofaviy kirishni ko'pfaktorli autentifikatsiya bilan himoya qilish, barcha hisob yozuvlarini muntazam tekshirish va xizmatlarni autsorsga berishda kiberxavfsizlik uchun kim javobgar ekanligini aniq belgilash.