تحقیقات دفتر کمیسر اطلاعات بریتانیا (ICO) نشان می‌دهد که اطلاعات شخصی هزاران کودک و خانواده‌های آن‌ها در ولز، پس از حمله باج‌افزاری (Ransomware) که از طریق یک حساب کاربری با رمز عبور بسیار ضعیف “Password1” انجام شده بود، مورد سرقت قرار گرفته است.
این نهاد نظارتی، شرکت Ogi Networks Limited (ONL) و واحد داده‌های دولت محلی ولز (Data Cymru) را به دلیل نقص‌های امنیتی در این حادثه که در نوامبر ۲۰۲۴ رخ داد، بازخواست کرد. شرکت ONL از سال ۲۰۱۲ به عنوان ارائه‌دهنده خدمات فناوری اطلاعات (IT service provider) برای Data Cymru فعالیت می‌کند.
جزئیات نفوذ و سرقت داده‌ها
مهاجمان دسترسی اولیه خود را از طریق یک حساب آزمایشی (Test account) به نام “Test 2” به دست آوردند؛ حسابی که بیش از ۱۲ سال در شبکه وجود داشت و تنها با رمز عبور “Password1” محافظت می‌شد. این دسترسی به عامل تهدید (Threat actor) اجازه داد تا به شبکه Data Cymru نفوذ کرده و ۱۸۲.۷ گیگابایت داده را در سرورهای فایل و یک سرور پایگاه داده داخلی (SQL server) رمزگذاری کند.
علاوه بر رمزگذاری، مهاجمان پیش از اجرای باج‌افزار، ۴۲ گیگابایت داده را از یک کنترل‌کننده دامنه (Domain Controller) اصلی، سرور فایل و سرور SQL استخراج (Exfiltrate) کردند. این اطلاعات شامل داده‌های شخصی ۳۳۰۰ نفر، که اکثر آن‌ها کودک بودند، می‌شد.
نقض قوانین و توصیه‌های امنیتی
بررسی‌ها نشان داد که هر دو سازمان قوانین GDPR را نقض کرده‌اند. از جمله این موارد می‌توان به عدم وجود قراردادهای حفاظتی مناسب با پیمانکار و عدم انجام بازبینی‌های دوره‌ای حساب‌های کاربری در Active Directory اشاره کرد.
کارشناسان تأکید می‌کنند که این حادثه درس‌های مهمی برای سازمان‌ها دارد:
- استفاده از رمز عبورهای پیچیده و قوی.
- محافظت از دسترسی‌های از راه دور با استفاده از احراز هویت چندعاملی (MFA).
- بازبینی منظم و دوره‌ای تمامی حساب‌های کاربری.
- شفافیت کامل در مورد مسئولیت‌های امنیت سایبری در قراردادهای برون‌سپاری (Outsourcing).
