Hakerzy wykradli dane tysięcy dzieci w Walii – konto testowe chronione hasłem „Password1”

Cyberprzestępcy wykradli dane tysięcy dzieci, włamując się na konto zabezpieczone hasłem „Password1” – poinformował brytyjski urząd ochrony danych osobowych ICO (Information Commissioner’s Office). Jak podaje nadawca publiczny BBC, urząd udzielił nagany firmie informatycznej Ogi Networks (ONL) i walijskiej organizacji Data Cymru po ataku z 1 listopada 2024 r. Ujawnione zostały dane 3 300 osób, w większości dzieci. Hakerzy dostali się do systemu przez konto testowe Test2, które istniało ponad 12 lat, a jego hasło dało się złamać w mniej niż sekundę.

ONL, która świadczyła usługi informatyczne dla Data Cymru, przyznała, że konto „powinno było zostać usunięte na długo, zanim przestępcy mogli z niego skorzystać”, i zatrudniła niezależnych specjalistów od cyberbezpieczeństwa. Firma przyjęła ustalenia ICO i – jak zapewnia – wprowadziła je w życie. Data Cymru w 2025 r. połączyła się ze Stowarzyszeniem Samorządów Walii (WLGA), które przekazało, że nic nie wskazuje, by skradzione dane zostały dalej udostępnione lub wykorzystane.

Naruszenie przepisów o ochronie danych

Według ICO obie organizacje naruszyły brytyjskie przepisy o ochronie danych (UK GDPR), bo nie zabezpieczyły właściwie systemów i nie sprawdzały regularnie skuteczności zabezpieczeń. W trakcie ataku z użyciem oprogramowania szantażującego (ransomware) hakerzy zaszyfrowali 182,7 GB danych i wykradli 42 GB z systemów Data Cymru. Ujawnione dane dotyczyły dwóch projektów wspierających dzieci i rodziny.

Password1 to nie jest odpowiednie hasło, to szeroko otwarte drzwi dla przestępców. To zdarzenie pokazuje, jak jedno słabe hasło przypisane do niepotrzebnego już konta może otworzyć drogę do poważnego cyberataku, który dotyka tysięcy osób – powiedział David Doodson, szef działu dochodzeń ICO.

Doodson dodał, że odpowiedzialność za „te zaniedbania nie leżała po stronie jednej organizacji”. Według urzędu ONL utworzyła konto testowe w 2012 r. i przez ponad 12 lat ani go nie sprawdziła, ani nie usunęła. Nie weryfikowała też lokalnych kont administratorów po ich utworzeniu – na trzech zaatakowanych systemach przez ten sam czas używano tego samego hasła.

Data Cymru z kolei nie zawarła z ONL umowy o ochronie danych, przez co między organizacjami powstała luka w odpowiedzialności. Nie dopilnowała też, by nieużywane konto testowe zostało wykryte i usunięte albo zabezpieczone silniejszym hasłem.

Lekcja dla wszystkich organizacji

ICO podkreśla, że to lekcja dla każdej organizacji: trzeba stosować silne hasła, chronić zdalny dostęp uwierzytelnianiem wieloskładnikowym, regularnie przeglądać wszystkie konta użytkowników i jasno ustalić, kto odpowiada za cyberbezpieczeństwo, gdy usługi są zlecane na zewnątrz. Po ataku obie organizacje wzmocniły zabezpieczenia, m.in. wprowadziły uwierzytelnianie wieloskładnikowe i okresowe przeglądy kont, a 30 kwietnia 2025 r. zawarły zgodną z prawem umowę o przetwarzaniu danych.

Rzecznik ONL przekazał, że w ciągu tygodnia od ataku firma razem z Data Cymru sprawdziła każde konto w sieci i tego samego dnia wyłączyła niepotrzebne. „Zdarzenie ograniczyło się do serwera, który prowadziliśmy dla Data Cymru. Nie dotyczyło żadnych innych danych klientów przechowywanych przez ONL” – zapewnił. Rzecznik WLGA podkreślił, że stowarzyszenie wciąż przegląda swoje zabezpieczenia; usunięto m.in. nieaktywne konta, zaostrzono zasady haseł i zdalnego dostępu oraz doprecyzowano w umowach odpowiedzialność za bezpieczeństwo i audyty.