استفاده از یک حساب کاربری آزمایشی (Test Account) با رمز عبور بسیار ضعیف “Password1″، منجر به سرایت یک حمله باج‌افزاری (Ransomware) شد که اطلاعات شخصی ۳۳۰۰ نفر، از جمله کودکان، را به سرقت برد. این حادثه منجر به توبیخ رسمی دو سازمان در ولز توسط دفتر کمیسیون اطلاعات (ICO) شده است.
طبق گزارش ICO، سازمان‌های Ogi Networks Limited (ONL) و Data Cymru به دلیل ضعف در تدابیر امنیتی مورد بازخواست قرار گرفته‌اند. حساب کاربری آزمایشی با نام “Test2” که در سال ۲۰۱۲ ایجاد شده بود، بدون هیچ‌گونه نظارتی و با رمز عبوری که ابزارهای امنیتی آن را “بسیار ضعیف” ارزیابی می‌کنند، برای بیش از ۱۲ سال فعال باقی مانده بود.
جزئیات فنی حمله
مهاجم پس از نفوذ به شبکه، موفق شد ۴۲ گیگابایت داده را از یک کنترل‌کننده دامنه (Domain Controller)، یک سرور فایل (File Server) و یک سرور SQL exfiltrate (خارج) کند. پس از سرقت داده‌ها، باج‌افزار توانست ۱۸۲.۷ گیگابایت داده را در سرورهای داخلی رمزگذاری (Encrypt) کند.
- حرکت جانبی (Lateral Movement): به دلیل استفاده از رمز عبور یکسان برای تمامی حساب‌های مدیر محلی (Local Administrator) در سیستم‌های آسیب‌دیده، مهاجم توانست پس از نفوذ به یک سیستم، با استفاده از هش‌های (Hashes) موجود، به سایر سیستم‌ها در شبکه دسترسی پیدا کند.
- فقدان حسابرسی (Auditing): سازمان ONL تایید کرد که هیچ فرآیند بازبینی یا حسابرسی (Audit) برای حساب‌های کاربری در Active Directory انجام نداده است.
این حادثه نقض ماده ۳۲ از مقررات GDPR محسوب می‌شود، زیرا سازمان‌ها در پیاده‌سازی “تدابیر فنی و سازمانی مناسب” برای تضمین امنیت سیستم‌ها و ارزیابی منظم آن‌ها شکست خورده بودند. این گزارش تأکید می‌کند که حتی یک حساب کاربری قدیمی و فراموش‌شده با یک رمز عبور ساده می‌تواند درهای ورود را به روی عامل‌های تهدید (Threat Actors) باز کند.
