Regatul Unit: o breșă de securitate a pus în pericol datele personale a mii de copii

Adaugă-ne ca sursă preferată în Google

Urmărește-ne in Discover

O breșă de securitate majoră înregistrată în Regatul Unit a expus datele cu caracter personal aparținând unui număr de aproximativ 3.300 de persoane, fiind provocată de o neglijență greu de imaginat în era digitală. Victimele acestui incident cibernetic sunt, în marea lor majoritate, copii, informează publicația britanică The Independent. Investigația oficială a scos la iveală faptul că atacatorii au reușit să penetreze rețeaua informatică prin intermediul unui cont utilizat în trecut pentru teste, care fusese lăsat activ și care era protejat de o parolă rudimentară.

În urma acestui incident grav, Autoritatea britanică pentru protecția datelor (Information Commissioner’s Office – ICO) a reacționat ferm. Instituția a sancționat prin avertismente oficiale atât compania de telecomunicații Ogi Networks Limited (ONL), cât și organizația Data Cymru, entitate care gestionează bazele de date pentru administrațiile locale din Țara Galilor, pentru încălcarea flagrantă a normelor europene și naționale privind protecția datelor (GDPR).

Vulnerabilitatea din sistem

Conform detaliilor tehnice oferite de anchetatori, hackerii au identificat și exploatat un cont de testare denumit „Test 2”. Acesta fusese creat de specialiștii de la Ogi Networks Limited în interiorul rețelei Data Cymru și a fost uitat activ timp de mai bine de 12 ani, deși utilitatea lui încetase demult. Securitatea acestui punct de acces era asigurată exclusiv prin textul elementar „Password1” (n.r. – Parolă1). Instrumentele specializate în evaluarea securității cibernetice au clasificat această barieră drept „foarte slabă”, experții ICO subliniind că ea putea fi spartă prin atacuri automatizate în mai puțin de o secundă.

„Password1 nu este o parolă adecvată, ci o ușă larg deschisă pentru actorii rău intenționați”, a avertizat public David Doodson, șeful departamentului de investigații din cadrul ICO. Oficialul a dorit să tragă un semnal de alarmă global cu privire la managementul conturilor corporative, adăugând: „Acest incident arată cum o singură parolă slabă, asociată unui cont care nu mai era necesar, poate lăsa ușa deschisă unui atac cibernetic grav, care poate afecta mii de persoane”.

Compromiterea contului a permis atacatorilor să declanșeze o ofensivă de tip ransomware. În total, infractorii cibernetici au reușit să extragă un volum uriaș de informații, peste 180 GB de date confidențiale. Dintre acestea, aproximativ 42 GB proveneau direct din sistemele locale ale organizației Data Cymru și conțineau detalii sensibile despre două proiecte guvernamentale dedicate sprijinirii familiilor vulnerabile și minorilor.

Erori de management și avertismentul autorităților

Ancheta amănunțită a stabilit o serie lungă de deficiențe administrative. Compania ONL a eșuat în a implementa politici stricte privind complexitatea parolelor și a omis să efectueze audituri periodice ale utilizatorilor din rețea. Drept urmare, contul creat în ianuarie 2012 a rămas complet funcțional timp de peste un deceniu, supraviețuind inclusiv celor șase ani scurși de la intrarea în vigoare a reglementărilor stricte ale GDPR. De asemenea, s-a descoperit că unele conturi din trei sisteme conexe foloseau neschimbate aceleași parole încă de la configurarea lor inițială.

La rândul său, Data Cymru a fost aspru criticată pentru lipsa de diligență contractuală, neavând un acord clar cu furnizorul ONL care să stipuleze clauzele obligatorii de protecție a datelor. David Doodson a clarificat că responsabilitatea pentru acest eșec sistemic este una partajată în mod egal.

„Responsabilitatea pentru aceste deficiențe nu revenea unei singure organizații. ONL a creat contul de testare, în timp ce Data Cymru a păstrat controlul general asupra rețelei sale, inclusiv posibilitatea de a solicita ONL să creeze sau să elimine conturi. Niciuna dintre organizații nu implementase măsuri suficient de clare și eficiente pentru a se asigura că vechile conturi erau identificate și eliminate în mod regulat”, a detaliat Doodson.

În final, conducătorul departamentului de investigații a transmis un set clar de recomandări obligatorii pentru toate companiile care manipulează date private: „Lecția pentru fiecare organizație este simplă: folosiți parole puternice, protejați accesul de la distanță prin autentificare multifactor, verificați periodic fiecare cont de utilizator și stabiliți foarte clar cine este responsabil pentru securitatea cibernetică atunci când serviciile sunt externalizate. Măsurile de bază de securitate cibernetică nu sunt opționale, iar consecințele lipsei lor pot fi grave”. Ulterior incidentului, ambele organizații au remediat deficiențele contractuale și au implementat sisteme moderne de autentificare multifactor (MFA).

Sursa: Mediafax