Ransomware w Wales przez hasło „Password1”
Wystarczył stary testowy konto z hasłem „Password1”, by wyciekły dane tysięcy dzieci i rodzin w Walii. Sprawa ujawnia bolesne błędy podstaw bezpieczeństwa.
Jeden słaby login, ogromny wyciek
W Walii doszło do incydentu, który pokazuje, jak kosztowne potrafią być najbardziej podstawowe zaniedbania w cyberbezpieczeństwie. Atak ransomware na systemy obsługujące projekty dla dzieci i rodzin doprowadził do wycieku danych osobowych 3300 osób, w tym głównie dzieci.
Brytyjski urząd ochrony danych ustalił, że punktem wejścia był stary konto testowe o nazwie „Test 2”, istniejące od ponad 12 lat i chronione wyłącznie hasłem „Password1”.
Jak doszło do ataku
Atakujący najpierw uzyskali dostęp do sieci dzięki temu niepotrzebnemu już kontu testowemu. Następnie poruszali się po infrastrukturze, zanim wdrożyli ransomware. Wcześniej udało im się wykraść 42 GB danych z głównego kontrolera domeny, serwera plików oraz serwera SQL.
Samo zaszyfrowanie objęło 182,7 GB danych przechowywanych na serwerach plików i wewnętrznej bazie danych.
Kogo dotyczy sprawa
Incydent objął:
- Data Cymru – jednostkę wspieraną przez rząd Walii, pomagającą lokalnym władzom i organizacjom w zbieraniu oraz analizie danych,
- Ogi Networks Limited – zewnętrznego dostawcę usług IT, współpracującego z Data Cymru od 2012 roku.
Obie organizacje zostały upomniane przez brytyjski organ regulacyjny za naruszenia zasad bezpieczeństwa i ochrony danych.
Co było nie tak
Śledczy wskazali kilka poważnych błędów:
- brak odpowiednich wymagań dotyczących siły i złożoności hasła,
- brak regularnych audytów kont w środowisku Data Cymru,
- utrzymywanie niepotrzebnego konta testowego przez ponad 12 lat,
- brak przeglądu lokalnych kont administratorów po ich wdrożeniu,
- brak odpowiedniej umowy powierzenia danych z wymaganymi zapisami prawnymi przy korzystaniu z podprocesora.
W ocenie regulatora uchybienia trwały długo i nie zostały zauważone na czas.
Żadnej kary finansowej, ale jasny sygnał
Mimo skali incydentu nie nałożono grzywny. Organ nadzorczy odnotował jednak działania naprawcze: Ogi Networks wzmocniło kontrolę dostępu do kont, a obie strony zawarły już zgodną z prawem umowę przetwarzania danych.
Przy tej okazji padło też ważne ostrzeżenie: organizacje powinny stosować silne hasła, chronić zdalny dostęp przez MFA, regularnie przeglądać konta użytkowników i jasno określać odpowiedzialność za cyberbezpieczeństwo przy outsourcingu usług.
Dlaczego ta historia jest ważna
To klasyczny przykład tego, że nawet zaawansowane zabezpieczenia nie pomogą, jeśli w systemie zostanie stare, nieużywane konto z banalnym hasłem. W tym przypadku wystarczyła jedna luka organizacyjna, by zagrożone zostały dane tysięcy dzieci i rodzin.
