Un atac cibernetic desfășurat în Marea Britanie a pus în pericol datele personale ale aproximativ 3.300 de persoane, majoritatea fiind copii. Incidentul a fost posibil datorită utilizării unui cont de testare protejat de o parolă extrem de vulnerabilă, care a permis hackerilor accesul rapid la informații sensibile. Autoritatea britanică pentru protecția datelor, Information Commissioner’s Office (ICO), a intervenit rapid în acest caz pentru a investiga încălcarea normelor GDPR.
Problema a survenit din cauza unui cont de testare numit „Test 2”, creat de compania de telecomunicații Ogi Networks Limited (ONL) în rețeaua Data Cymru. Acest cont a rămas activ în sistem timp de peste 12 ani, deși nu mai era necesar pentru activitatea organizațiilor. Hackerii au exploatat această vulnerabilitate, protejată de parola „Password1”, o parolă clasificată drept „foarte slabă” de instrumentele de evaluare a securității, putând fi compromisă în mai puțin de o secundă.
În urma atacului de tip ransomware, infractorii cibernetici au reușit să sustragă peste 180 GB de date, dintre care 42 GB provin direct din sistemele gestionate de Data Cymru. Ancheta realizată de ICO a scos la iveală faptul că ONL nu a aplicat cerințe adecvate privind complexitatea parolelor și a omis efectuarea unor verificări periodice ale conturilor din rețea. Contul respectiv a fost creat în ianuarie 2012, rămânând activ și peste șase ani după intrarea în vigoare a obligațiilor GDPR.
Responsabilitatea pentru acest incident a fost împărțită între Ogi Networks Limited și organizația Data Cymru, care gestionează date pentru administrațiile locale din Țara Galilor. David Doodson, șeful departamentului de investigații al ICO, a explicat că ONL a creat contul, în timp ce Data Cymru a menținut controlul asupra rețelei fără a solicita eliminarea conturilor vechi. De asemenea, Data Cymru a fost criticată pentru lipsa unui contract cu ONL care să includă clauzele obligatorii de protecție a datelor.
După descoperirea breșei, cele două entități au luat măsuri pentru a corecta deficiențele de securitate identificate în urma investigației. ONL și Data Cymru au încheiat un contract de prelucrare a datelor care respectă cerințele legale în vigoare și au consolidat procedurile de verificare a conturilor. Ca parte a noilor măsuri de protecție, organizațiile au introdus autentificarea multifactor pentru a preveni astfel de accesuri neautorizate în viitor.
Incidentul subliniază importanța critică a măsurilor de bază în securitatea cibernetică, precum utilizarea parolelor puternice și a autentificării multifactor. Conform reglementărilor GDPR, organizațiile sunt obligate să implementeze măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate potrivit riscurilor. Gestionarea defectuoasă a conturilor de testare și lipsa auditurilor periodice pot transforma o simplă parolă într-o „ușă larg deschisă” pentru atacatori.