Hackerii sparg în 1 secundă parola, riscând datele a mii de copii

3.300 de utilizatori, în principal copii, și-au pierdut datele personale în urma unui atac cibernetic originar din Marea Britanie. Incidentul a fost facilitat de un cont de testare securizat cu parola „Password1” (n.r – Parolă1), descrisă ca fiind extrem de fragil, potrivit raportului The Independent.

Autoritatea britanică responsabilă de protecția datelor, Information Commissioner’s Office (ICO), a emis avertismente formale împotriva companiei de

Datele expuse proveneau din două inițiative concepute pentru a ajuta familiilor, de aceea majoritatea victimelor erau copii.

Citește șiSam Altman pentru abuzuri sexuale nu avansează în justiția americană

Hackerii au profitat de un cont de testare intitulat „Test 2”, inițiat de ONL în rețeaua Data Cymru, care a rămas activ de peste 12 ani, în ciuda faptului că nu mai era necesar.

Contul era securizat exclusiv cu parola „Password1”, pe care un instrument specializat în evaluarea securității parolelor îl a etichetat ca fiind „foarte slabă”.

Conform ICO, această problemă ar fi putut fi exploatată în mai puțin de o secundă.

„Password1 nu este o parolă adecvată, ci o ușă larg deschisă pentru actorii rău intenționați”, a avertizat David Doodson, șeful departamentului de investigații al ICO.

„Acest incident arată cum o singură parolă slabă, asociată unui cont care nu mai era necesar, poate lăsa ușa deschisă unui atac cibernetic grav, care poate afecta mii de persoane”, a adăugat acesta.

Atacatorii au sustras peste 180 GB de date.

După ce a avut loc un atac de tip ransomware, hoții cibernetici au furat peste 180 GB de informații, dintre care 42 GB proveneau din sistemele Data Cymru.

Investigația a constatat că ONL nu a impus standarde corespunzătoare pentru complexitatea parolelor și nu a efectuat verificări regulate ale conturilor din rețea.

Prin urmare, contul „Test 2”, inițiat în ianuarie 2012, a continuat să fie activ pentru peste 12 ani, incluzând mai mult de șase ani de la intrarea în vigoare a obligațiilor GDPR ce se referă la companie.

Autoritatea a observat că câteva conturi din trei sisteme compromise au păstrat aceleași parole pentru o perioadă de peste 12 ani.

Data Cymru a fost subiectul critică pentru lipsa unui acord cu ONL care să conțină clauze obligatorii de protecție a datelor și pentru neasigurarea eliminării sau actualizării contului vechi în conformitate cu noile cerințe de securitate.

Notificare pentru companii: O singură eroare ar putea afecta mii de persoane.

David Doodson a subliniat că responsabilitatea incidentului revenea la ambele organizații.

„Responsabilitatea pentru aceste deficiențe nu revenea unei singure organizații. ONL a creat contul de testare, în timp ce Data Cymru a păstrat controlul general asupra rețelei sale, inclusiv posibilitatea de a solicita ONL să creeze sau să elimine conturi. Niciuna dintre organizații nu implementase măsuri suficient de clare și eficiente pentru a se asigura că vechile conturi erau identificate și eliminate în mod regulat”, a explicat acesta.

Oficialul a subliniat necesitatea unor parole robuste, a autentificării cu mai mulți factori și a verificării regulate a tuturor conturilor de utilizator.

„Lecția pentru fiecare organizație este simplă: folosiți parole puternice, protejați accesul de la distanță prin autentificare multifactor, verificați periodic fiecare cont de utilizator și stabiliți foarte clar cine este responsabil pentru securitatea cibernetică atunci când serviciile sunt externalizate. Măsurile de bază de securitate cibernetică nu sunt opționale, iar consecințele lipsei lor pot fi grave”, a avertizat Doodson.

În urma evenimentului, ONL și Data Cymru au semnat un acord de prelucrare a datelor în conformitate cu prevederile legale și au întărit procedurile de verificare a conturilor, inclusiv prin implementarea autentificării multifactor.