Data Cymru: ransomware printr-un cont de test cu ‘Password1’

Information Commissioner’s Office (ICO), autoritatea britanică pentru protecția datelor, a publicat pe 20 octombrie 2026 două avertismente (reprimand) pentru un atac ransomware din noiembrie 2024. Destinatarii sunt Ogi Networks Limited (ONL), operator de rețea din Țara Galilor, și Local Government Data Unit – Wales, cunoscut ca Data Cymru, organismul finanțat de guvernul galez care ajută consiliile locale și alte instituții publice să colecteze și să analizeze date. Potrivit surselor, au fost furate datele personale a circa 3.300 de persoane, în majoritate copii.

Punctul de intrare este banal și tocmai de aceea instructiv: un cont de test creat în 2012 și niciodată șters, cu parola „Password1”. Informațiile care urmează provin din documentele ICO, așa cum le-au relatat The Register și Infosecurity Magazine; DataBreaches.net confirmă faptele principale.

Ce s-a întâmplat

ONL este furnizorul IT extern al Data Cymru din 2012: potrivit ICO, citat de The Register, îi furnizează servere, conectivitate, licențe și asistență. Pe 13 ianuarie 2012, în timpul primului proiect pentru Data Cymru, ONL a creat un cont numit „Test2” („Test 2” în relatarea Infosecurity Magazine), probabil pentru a testa accesul utilizatorilor înainte de migrarea celor reali. Contul a primit parola „Password1” și a rămas activ peste 12 ani fără să servească la nimic.

Pe 1 noiembrie 2024, potrivit The Register, un atacator a folosit acel cont pentru a intra în rețeaua Data Cymru. Înainte de criptare a exfiltrat 42 GB de date de pe un controller de domeniu principal, un server de fișiere și un server SQL; apoi a criptat 182,7 GB pe un server de fișiere și pe un server intern de baze de date. Potrivit Infosecurity Magazine, datele furate priveau două proiecte de sprijin pentru copii și familii din Țara Galilor.

Sursele nu numesc grupul ransomware, nu spun cum a obținut sau a ghicit atacatorul parola și nici dacă contul era accesibil printr-un serviciu de acces la distanță.

Detalii tehnice

• Acces inițial cu un cont valid uitat. „Test2” nu avea niciun rol operațional, iar parola sa este, potrivit instrumentului de evaluare citat de ICO, „foarte slabă”, putând fi spartă în mai puțin de o secundă. Potrivit ICO, ONL nu avea proceduri de verificare periodică a conturilor create în Active Directory-ul Data Cymru.
• Mișcare laterală cu parolele locale. Conturile de administrator local de pe cele trei sisteme afectate aveau aceeași parolă, setată în ianuarie 2012 și neschimbată timp de peste 12 ani și jumătate. După compromiterea unui sistem, atacatorul a putut colecta hash-urile conturilor locale și le-a putut folosi pentru autentificarea pe celelalte: este schema cunoscută ca pass-the-hash. ONL a confirmat pentru ICO că nu a revizuit niciodată acele conturi după instalare.

O mapare orientativă pe MITRE ATT&CK, a noastră și nu a surselor: T1078 (Valid Accounts) pentru intrare, T1003 (OS Credential Dumping) și T1550.002 (Pass the Hash) pentru mișcarea laterală, exfiltrare înainte de criptare și T1486 (Data Encrypted for Impact). Nu au fost publicați indicatori de compromitere.

Ce reproșează ICO

ONL a primit avertisment pentru încălcarea articolului 32 din GDPR-ul britanic (securitatea prelucrării): nicio cerință de complexitate aplicată parolei contului, nicio verificare periodică a conturilor create în rețeaua clientului, nicio revizuire a administratorilor locali după prima instalare.

Potrivit Infosecurity Magazine, ICO reproșează Data Cymru că nu a încheiat cu ONL un contract cu clauzele de protecție a datelor impuse de lege pentru cine prelucrează date în numele altcuiva și că a făcut revizuiri ale conturilor neprogramate și care nu acopereau tot Active Directory-ul. Data Cymru, observă ICO, păstra controlul asupra propriei rețele și putea cere ONL să creeze sau să șteargă conturi: responsabilitatea era a ambelor.

Nicio amendă: ICO a ținut cont de măsurile luate după atac, între care controale de acces mai stricte la ONL și un contract de prelucrare a datelor conform între cele două organizații.

Impactul pentru companiile europene și italiene

Nicio vulnerabilitate de corectat, ci practici întâlnite peste tot: conturi de test uitate, parole locale identice pe mai multe servere, furnizori care administrează rețeaua clientului fără roluri clare.

În UE se aplică aceleași reguli: articolul 32 din GDPR cere măsuri de securitate adecvate și verificate în timp, iar articolul 28 un contract cu fiecare persoană împuternicită. Pentru entitățile NIS2 (în Italia Decretul legislativ 138/2024), inclusiv instituții publice și mulți furnizori de servicii IT gestionate, controlul accesului, autentificarea multifactor și securitatea lanțului de aprovizionare sunt măsuri explicite.

Ce să faci acum

1. Caută conturile inutile în Active Directory: conturi de test, de proiect, ale foștilor furnizori, conturi niciodată folosite sau fără autentificări de luni de zile. Dezactivează-le, apoi șterge-le.
2. Fă revizuiri periodice și complete ale conturilor, după un calendar, în tot directorul, nu doar pentru utilizatorii cunoscuți.
3. Fă ca parolele de administrator local să fie unice pe fiecare mașină, cu rotație automată (de exemplu cu Windows LAPS), și limitează autentificările în rețea cu conturi locale.
4. Aplică o politică a parolelor care exclude parolele comune și pe cele deja compromise, inclusiv pentru conturile tehnice.
5. Protejează orice acces la distanță cu autentificare multifactor, inclusiv conturile furnizorilor.
6. Pune în scris responsabilitățile cu cine îți administrează rețeaua: contract de prelucrare a datelor, cine creează și cine șterge conturile, cu ce verificări.
7. Urmărește accesările anormale: conturi inactive care încep din nou să fie folosite, autentificări cu conturi locale de pe o mașină pe alta, transferuri de date neobișnuite de pe servere.

Cum ajută ARXDOME

ARX Sentry colectează evenimentele de securitate de pe computere și servere și, în paginile dedicate identităților, arată autentificările, eșecurile, accesările privilegiate, desktopul la distanță, accesările din timpul nopții și modificările conturilor, cu o familie de evenimente pentru utilizarea credențialelor explicite. ARX Shield verifică configurația mașinilor după benchmark-urile CIS și permite izolarea din rețea a unei mașini suspecte. ARX Expose semnalează conturile companiei implicate în încălcări cunoscute.

Ultima actualizare: 21 octombrie 2026