Пароль Password1 и учётка Test2: утекли данные 3300 человек

Я открыл это решение из-за заголовка, а остался из-за срока. Тестовая учётная запись Test2 прожила в сети больше 12 лет. Пароль у неё был Password1. Через неё 1 ноября 2024 года вымогатели вошли в системы валлийской организации Data Cymru, которая работает с данными местных властей.

Что сказало ведомство

Британский регулятор ICO опубликовал выговоры 20 октября. Атака зашифровала 182,7 ГБ данных, ещё 42 ГБ злоумышленники унесли. Пострадали 3300 человек, в основном дети из двух программ поддержки семей.

Учётку когда-то создал подрядчик, компания Ogi Networks. Её либо никто не выключал, либо случайно включили снова. Сторонний сервис оценил пароль как очень слабый, подобрать его можно меньше чем за секунду.

Выговор получили обе стороны. Подрядчик не проверял созданные им учётки и пароли администраторов. Data Cymru не заключила с ним договор об обработке данных и не прописала, как он должен следить за сетью. Такой договор подписали только 30 апреля 2025 года. Слова главы расследований Дэвида Дудсона (перевод наш):

Password1 — неподходящий пароль, это распахнутая дверь для злоумышленников.

Что это значит для бизнеса

Меня зацепило, что регулятор не дал заказчику спрятаться за подрядчиком. Сеть была общая, контроль был у Data Cymru, значит, и спрос с неё.

В России логика похожая. По 152-ФЗ оператор отвечает за данные, даже если поручил обработку другой компании. Поручение надо оформлять договором с требованиями к защите. Я бы на вашем месте достал договор с тем, кто обслуживает вашу CRM, сайт или сервер, и посмотрел, есть ли там такой пункт.

Второе, что я бы сделал сегодня, это выгрузил список всех учётных записей. Тестовые, бывших сотрудников, старых подрядчиков лучше отключить. На остальные поставить двухфакторный вход. Ogi и Data Cymru ввели его только после атаки.

Кто ещё об этом написал

Русскоязычных пересказов в нашей ленте нет. Сообщение опубликовано на ico.org.uk 20 октября.