Un attacco ransomware che ha coinvolto due organizzazioni gallesi ha esposto i dati personali di circa 3.300 persone, prevalentemente bambini. A causare questa violazione è stata una vecchia vulnerabilità: un account di test protetto dalla password “Password1”. A seguito di questo incidente, l’Information Commissioner’s Office (ICO) ha emesso dei richiami a Ogi Networks Limited (ONL) e al Local Government Data Unit – Wales, noto anche come Data Cymru.
Secondo quanto riportato dall’ICO, Ogi Networks ha fornito infrastrutture server e supporto a Data Cymru, un’organizzazione che assiste gli enti pubblici in Galles nell’utilizzo efficace dei dati. Il 1° novembre 2024, Data Cymru ha subito un attacco ransomware dopo che un intruso ha sfruttato un account di test chiamato Test2 per infiltrarsi nella rete e criptare 182,7 GB di dati contenuti in un server di file e in un database interno.
“Prima di lanciare il ransomware, il cybercriminale ha esfiltrato 42 GB di dati da un controller di dominio principale, un server di file e un server SQL”, ha dichiarato l’ICO in una sua nota. Ogi Networks ha spiegato all’ICO di aver creato l’account di test nel gennaio 2012 durante un progetto iniziale per Data Cymru, indicandolo come strumento di verifica dell’accesso degli utenti prima della migrazione degli utenti “reali” ai propri servizi.
All’epoca della sua creazione, l’account “Test2” era protetto dalla password “Password1”, che secondo lo strumento di valutazione della forza delle password di Bitwarden è considerata “molto debole” e potrebbe essere violata in meno di un secondo. L’ICO ha rilevato che tutti gli account di amministratore locale sui tre sistemi colpiti utilizzavano la stessa password. Ciò ha consentito al cybercriminale, una volta compromesso un sistema, di raccogliere gli hash delle password e utilizzarli per accedere ad altri sistemi nella rete di Data Cymru.
ONL ha confermato di non aver effettuato alcuna revisione degli account di amministratore locale dopo la loro creazione, il che ha comportato che questi account rimanessero attivi e utilizzassero le stesse password predefinite fissate nel 2012, per oltre 12,5 anni. In base all’articolo 32 del Regolamento generale sulla protezione dei dati (GDPR) del Regno Unito, l’ICO ha reprimandato ONL per non aver implementato “misure tecniche e organizzative appropriate” per garantire la sicurezza dei sistemi e dei servizi di elaborazione.
L’ICO ha anche sospeso Data Cymru per le sue mancanze in materia di sicurezza. “Password1 non è una password adeguata, è una porta aperta per gli attori malintenzionati”, ha dichiarato David Doodson, responsabile delle indagini dell’ICO. “Questo incidente dimostra come una singola password debole, legata a un account non più necessario, possa aprire la strada a un grave attacco informatico che può colpire migliaia di persone”.
Doodson ha inoltre sottolineato che la responsabilità per queste mancanze non ricade su un’unica organizzazione. ONL ha creato l’account di test mentre Data Cymru manteneva il controllo generale della propria rete, inclusa la possibilità di autorizzare la creazione o la rimozione di account. Nessuna delle due organizzazioni ha attuato misure chiare ed efficaci per garantire che gli account obsoleti fossero identificati e rimossi regolarmente.
