Data Cymru: ransomware da un account di test con ‘Password1’

L’Information Commissioner’s Office (ICO), l’autorità britannica per la protezione dei dati, ha pubblicato il 20 ottobre 2026 due ammonimenti (reprimand) per un attacco ransomware del novembre 2024. I destinatari sono Ogi Networks Limited (ONL), operatore di rete gallese, e il Local Government Data Unit – Wales, noto come Data Cymru, l’ente finanziato dal governo gallese che aiuta comuni e altri enti pubblici a raccogliere e analizzare dati. Secondo le fonti sono stati sottratti dati personali di circa 3.300 persone, in gran parte bambini.

Il punto di ingresso è banale e proprio per questo istruttivo: un account di test creato nel 2012 e mai rimosso, con la password «Password1». Le informazioni che seguono vengono dai documenti dell’ICO, come riportati da The Register e Infosecurity Magazine; DataBreaches.net conferma i fatti principali.

Cosa è successo

ONL è il fornitore IT esterno di Data Cymru dal 2012: secondo l’ICO, citato da The Register, fornisce server, connettività, licenze e assistenza. Il 13 gennaio 2012, durante il primo progetto per Data Cymru, ONL ha creato un account chiamato «Test2» («Test 2» nella versione di Infosecurity Magazine), probabilmente per provare l’accesso degli utenti prima di migrare quelli reali. L’account ha ricevuto la password «Password1» ed è rimasto attivo per oltre 12 anni senza che servisse a nulla.

Il 1° novembre 2024, secondo The Register, un attaccante ha usato quell’account per entrare nella rete di Data Cymru. Prima di avviare la cifratura ha esfiltrato 42 GB di dati da un domain controller primario, da un file server e da un server SQL; poi ha cifrato 182,7 GB su un file server e su un server di database interno. Secondo Infosecurity Magazine i dati sottratti riguardavano due progetti di sostegno a bambini e famiglie in Galles.

Le fonti non indicano il gruppo ransomware, come l’attaccante abbia ottenuto o indovinato la password, né se l’account fosse raggiungibile da un servizio di accesso remoto.

Dettagli tecnici

• Accesso iniziale con un account valido dimenticato. «Test2» era un account senza scopo operativo, con una password che lo strumento di valutazione citato dall’ICO giudica «molto debole», violabile in meno di un secondo. ONL, secondo l’ICO, non aveva procedure per verificare periodicamente gli account creati nell’Active Directory di Data Cymru.
• Movimento laterale con le password locali. Gli account di amministratore locale dei tre sistemi colpiti avevano la stessa password, impostata a gennaio 2012 e mai cambiata per più di 12 anni e mezzo. Violato un sistema, l’attaccante ha potuto raccogliere gli hash degli account locali e usarli per autenticarsi sugli altri: è lo schema noto come pass-the-hash. ONL ha confermato all’ICO di non aver mai rivisto quegli account dopo l’installazione.

Una mappatura indicativa su MITRE ATT&CK, nostra e non delle fonti: T1078 (Valid Accounts) per l’ingresso, T1003 (OS Credential Dumping) e T1550.002 (Pass the Hash) per il movimento laterale, esfiltrazione prima della cifratura e T1486 (Data Encrypted for Impact). Non sono stati pubblicati indicatori di compromissione.

Le contestazioni dell’ICO

ONL è stata ammonita per violazione dell’articolo 32 del GDPR britannico (sicurezza del trattamento): nessun requisito di robustezza applicato alla password dell’account, nessuna verifica periodica degli account creati nella rete del cliente, nessun riesame degli amministratori locali dopo la prima installazione.

A Data Cymru l’ICO contesta, secondo Infosecurity Magazine, di non aver firmato con ONL un contratto con le clausole di protezione dei dati previste dalla legge per chi tratta dati per conto altrui, e di aver fatto revisioni degli account non programmate e non estese a tutta l’Active Directory. Data Cymru, osserva l’ICO, aveva comunque il controllo della propria rete e poteva chiedere a ONL di creare o eliminare account: la responsabilità era di entrambi.

Nessuna sanzione economica: l’ICO ha tenuto conto delle misure adottate dopo l’attacco, tra cui controlli di accesso più rigidi da parte di ONL e un contratto di trattamento dei dati conforme tra le due organizzazioni.

Impatto per le aziende europee e italiane

Nessuna vulnerabilità da correggere, ma pratiche diffuse ovunque: account di prova dimenticati, password locali identiche su più server, fornitori che amministrano la rete del cliente senza ruoli chiari.

In Europa valgono le stesse regole: l’articolo 32 del GDPR europeo chiede misure di sicurezza adeguate e verificate nel tempo, e l’articolo 28 un contratto con ogni responsabile del trattamento. Per i soggetti NIS2 (in Italia il D.Lgs. 138/2024), tra cui enti pubblici e molti fornitori di servizi IT gestiti, controllo degli accessi, autenticazione a più fattori e sicurezza della catena di fornitura sono misure esplicite.

Cosa fare subito

1. Cerca gli account inutili in Active Directory: account di test, di progetto, di fornitori cessati, account mai usati o senza accessi da mesi. Disabilitali e poi eliminali.
2. Fai revisioni periodiche e complete degli account, a calendario, su tutta la directory e non solo sugli utenti noti.
3. Rendi uniche le password degli amministratori locali su ogni macchina, con rotazione automatica (per esempio con Windows LAPS), e limita gli accessi di rete con account locali.
4. Applica una politica delle password che escluda quelle comuni e già violate, anche per gli account tecnici.
5. Proteggi ogni accesso remoto con l’autenticazione a più fattori, compresi gli account dei fornitori.
6. Metti per iscritto le responsabilità con chi gestisce la tua rete: contratto di trattamento dei dati, chi crea e chi elimina gli account, con quali verifiche.
7. Sorveglia gli accessi anomali: account inattivi che tornano a usarsi, accessi con account locali da una macchina all’altra, trasferimenti di dati insoliti dai server.

Come aiuta ARXDOME

ARX Sentry raccoglie gli eventi di sicurezza di computer e server e, nelle pagine dedicate alle identità, mostra accessi, fallimenti, accessi privilegiati, desktop remoto, accessi notturni e modifiche agli account, con una famiglia di eventi per l’uso di credenziali esplicite. ARX Shield verifica la configurazione delle macchine secondo i benchmark CIS e permette di isolare dalla rete una macchina sospetta. ARX Expose segnala gli account aziendali coinvolti in violazioni note.

Ultimo aggiornamento: 21 ottobre 2026