Data Cymru: ransomware vía una cuenta de prueba con ‘Password1’

La Information Commissioner’s Office (ICO), la autoridad británica de protección de datos, publicó el 20 de octubre de 2026 dos amonestaciones (reprimand) por un ataque de ransomware de noviembre de 2024. Las destinatarias son Ogi Networks Limited (ONL), operador de red galés, y la Local Government Data Unit – Wales, conocida como Data Cymru, el organismo financiado por el gobierno galés que ayuda a ayuntamientos y otras entidades públicas a recopilar y analizar datos. Según las fuentes, se robaron datos personales de unas 3.300 personas, en su mayoría niños.

El punto de entrada es trivial y precisamente por eso instructivo: una cuenta de prueba creada en 2012 y nunca eliminada, con la contraseña «Password1». La información que sigue procede de los documentos de la ICO, tal como los recogen The Register e Infosecurity Magazine; DataBreaches.net confirma los hechos principales.

Qué ha pasado

ONL es el proveedor de TI externo de Data Cymru desde 2012: según la ICO, citada por The Register, le presta servidores, conectividad, licencias y soporte. El 13 de enero de 2012, durante su primer proyecto para Data Cymru, ONL creó una cuenta llamada «Test2» («Test 2» en la versión de Infosecurity Magazine), probablemente para probar el acceso de los usuarios antes de migrar a los reales. La cuenta recibió la contraseña «Password1» y siguió activa durante más de 12 años sin servir para nada.

El 1 de noviembre de 2024, según The Register, un atacante usó esa cuenta para entrar en la red de Data Cymru. Antes de iniciar el cifrado exfiltró 42 GB de datos de un controlador de dominio principal, un servidor de archivos y un servidor SQL; después cifró 182,7 GB en un servidor de archivos y en un servidor de base de datos interno. Según Infosecurity Magazine, los datos robados correspondían a dos proyectos de apoyo a niños y familias en Gales.

Las fuentes no indican el grupo de ransomware, cómo obtuvo o adivinó el atacante la contraseña, ni si la cuenta era accesible desde un servicio de acceso remoto.

Detalles técnicos

• Acceso inicial con una cuenta válida olvidada. «Test2» no tenía ninguna función operativa y su contraseña, según la herramienta de evaluación citada por la ICO, es «muy débil» y se descifra en menos de un segundo. Según la ICO, ONL no tenía procedimientos para revisar periódicamente las cuentas creadas en el Active Directory de Data Cymru.
• Movimiento lateral con las contraseñas locales. Las cuentas de administrador local de los tres sistemas afectados tenían la misma contraseña, fijada en enero de 2012 y sin cambiar durante más de 12 años y medio. Tras vulnerar un sistema, el atacante pudo recoger los hashes de las cuentas locales y usarlos para autenticarse en los demás: es el esquema conocido como pass-the-hash. ONL confirmó a la ICO que nunca revisó esas cuentas después de la instalación.

Un mapeo orientativo en MITRE ATT&CK, nuestro y no de las fuentes: T1078 (Valid Accounts) para la entrada, T1003 (OS Credential Dumping) y T1550.002 (Pass the Hash) para el movimiento lateral, exfiltración antes del cifrado y T1486 (Data Encrypted for Impact). No se han publicado indicadores de compromiso.

Lo que reprocha la ICO

ONL fue amonestada por infringir el artículo 32 del RGPD británico (seguridad del tratamiento): ningún requisito de robustez aplicado a la contraseña de la cuenta, ninguna revisión periódica de las cuentas creadas en la red del cliente, ninguna revisión de los administradores locales tras la primera instalación.

Según Infosecurity Magazine, la ICO reprocha a Data Cymru no haber firmado con ONL un contrato con las cláusulas de protección de datos que exige la ley para quien trata datos por cuenta ajena, y haber hecho revisiones de cuentas no programadas y que no cubrían todo el Active Directory. Data Cymru, señala la ICO, mantenía el control de su red y podía pedir a ONL que creara o eliminara cuentas: la responsabilidad era de ambas.

Ninguna multa: la ICO tuvo en cuenta las medidas adoptadas tras el ataque, entre ellas controles de acceso más estrictos por parte de ONL y un contrato de tratamiento de datos conforme entre las dos organizaciones.

Impacto para las empresas europeas e italianas

Ninguna vulnerabilidad que corregir, sino prácticas que se encuentran en todas partes: cuentas de prueba olvidadas, contraseñas locales idénticas en varios servidores, proveedores que administran la red del cliente sin funciones claras.

En la UE rigen las mismas reglas: el artículo 32 del RGPD exige medidas de seguridad adecuadas y verificadas con el tiempo, y el artículo 28 un contrato con cada encargado del tratamiento. Para las entidades NIS2 (en Italia el Decreto Legislativo 138/2024), entre ellas organismos públicos y muchos proveedores de servicios de TI gestionados, el control de accesos, la autenticación multifactor y la seguridad de la cadena de suministro son medidas explícitas.

Qué hacer ya

1. Busca las cuentas innecesarias en Active Directory: cuentas de prueba, de proyecto, de proveedores que ya no trabajan contigo, cuentas nunca usadas o sin inicios de sesión desde hace meses. Desactívalas y luego elimínalas.
2. Haz revisiones periódicas y completas de las cuentas, con calendario, en todo el directorio y no solo en los usuarios conocidos.
3. Haz que las contraseñas de administrador local sean únicas en cada equipo, con rotación automática (por ejemplo con Windows LAPS), y limita los inicios de sesión de red con cuentas locales.
4. Aplica una política de contraseñas que excluya las comunes y las ya filtradas, también para las cuentas técnicas.
5. Protege todo acceso remoto con autenticación multifactor, incluidas las cuentas de los proveedores.
6. Pon por escrito las responsabilidades con quien gestiona tu red: contrato de tratamiento de datos, quién crea y quién elimina las cuentas, con qué controles.
7. Vigila los accesos anómalos: cuentas inactivas que vuelven a usarse, inicios de sesión con cuentas locales de un equipo a otro, transferencias de datos inusuales desde los servidores.

Cómo ayuda ARXDOME

ARX Sentry recoge los eventos de seguridad de ordenadores y servidores y, en sus páginas de identidades, muestra inicios de sesión, fallos, accesos privilegiados, escritorio remoto, accesos nocturnos y cambios en las cuentas, con una familia de eventos para el uso de credenciales explícitas. ARX Shield verifica la configuración de los equipos según los benchmarks CIS y permite aislar de la red un equipo sospechoso. ARX Expose señala las cuentas de la empresa implicadas en brechas conocidas.

Última actualización: 21 de octubre de 2026