Британският регулатор ICO порица две организации за пропуски в защитата, след като нападатели използвали тестов акаунт с парола „Password1“, за да получат достъп до данни, свързани предимно с деца. Откраднати са над 180 GB информация.

Британската Служба на комисаря по информацията (ICO) отправи официални порицания към телекомуникационната компания Ogi Networks Limited (ONL) и звеното за данни на местната власт в Уелс Data Cymru за нарушения на правилата за защита на личните данни по GDPR.

При ransomware атака киберпрестъпници получили достъп до лична информация на около 3300 души. Значителна част от данните се отнася до деца и е свързана с два проекта в подкрепа на семейства. По данни на регулатора са изтеглени над 180 GB информация, от които 42 GB са от системите на Data Cymru.

Тестов акаунт е останал активен над 12 години

Нападателите използвали акаунт с име „Test 2“, създаден от ONL през януари 2012 г. в мрежата на Data Cymru. Той бил защитен с паролата „Password1“, която според ICO може да бъде компрометирана за по-малко от секунда.

Акаунтът вече не бил необходим за оперативната дейност, но останал активен повече от 12 години. Три засегнати системи запазили същите пароли през целия този период, а ONL не извършвала редовни проверки на локалните администраторски акаунти след първоначалното им създаване.

Регулаторът установил, че ONL не е наложила достатъчно строги изисквания за сложност на паролите и не е извършвала редовни одити на акаунтите в мрежата на Data Cymru.

Неясни отговорности и пропуски в контрола

Отговорността не е била само на една организация. ONL създала тестовия акаунт, докато Data Cymru запазила общия контрол върху мрежата, включително правомощието да изисква създаване или премахване на акаунти.

Data Cymru също не е гарантирала, че остарелият акаунт ще бъде открит и премахнат или приведен в съответствие с впоследствие въведените изисквания за паролите. Освен това между двете организации не е имало договор с необходимите по закон условия за защита на данните.

След инцидента те са сключили съответстващ на законовите изисквания договор и са подобрили процедурите за преглед на акаунтите, включително чрез въвеждане на многофакторно удостоверяване.

Основни изводи за организациите

Случаят показва как един забравен тестов акаунт може да се превърне във входна точка към чувствителни системи и данни. За бизнеса ключовите мерки са:

• Премахване на неизползваните акаунти и периодичен преглед на всички потребители с привилегирован достъп.
• Използване на уникални, силни пароли и многофакторно удостоверяване, особено при отдалечен достъп и административни акаунти.
• Редовен одит на локалните администраторски профили, включително на наследени системи и тестови среди.
• Ясно разпределение на отговорностите за сигурността при възлагане на услуги на външни доставчици.
• Проверка на достъпа до лични данни и ограничаването му до необходимия минимум.

Посланието на ICO е недвусмислено: базовите мерки за киберсигурност не са по избор. Когато остарели акаунти и слаби пароли останат без контрол, последиците могат да засегнат хиляди хора, включително деца.