Password1 su un account di test: l’ICO richiama Ogi Networks e Data Cymru dopo il ransomware
L'ICO britannica ha emesso due reprimende, senza multe, dopo un attacco ransomware a Data Cymru. L'intruso è entrato da un account di test del 2012 con password "Password1". Coinvolti 3.300 interessati, per lo più minori.
- ICO: reprimende a Ogi Networks e Data Cymru per il ransomware del 1° novembre 2024
- Accesso tramite account di test del 2012 con password Password1; 42 GB esfiltrati
- Coinvolte 3.300 persone, per lo più minori; contestato l'art. 32 del GDPR britannico
- Servono revisioni periodiche degli account e password uniche per gli admin locali
L’Information Commissioner’s Office (ICO), l’autorità britannica per la protezione dei dati, ha emesso due reprimende, senza sanzioni pecuniarie, nei confronti di Ogi Networks Limited (ONL) e della Local Government Data Unit – Wales, nota come Data Cymru. All’origine c’è un attacco ransomware che ha esposto dati personali di 3.300 persone, in gran parte minori.
Cosa è successo
ONL, operatore di rete alternativo, forniva a Data Cymru infrastruttura server, connettività, licenze e supporto. Data Cymru aiuta gli enti pubblici gallesi a usare in modo efficace i dati.
Il 1° novembre 2024 un aggressore ha sfruttato un account di test chiamato Test2 per entrare nella rete di Data Cymru. Ha poi cifrato 182,7 GB di dati ospitati su un file server e su un server di database interno. Prima di lanciare il ransomware ha esfiltrato 42 GB di dati da un domain controller primario, da un file server e da un server SQL.
Le falle individuate
Secondo ONL, l’account era stato creato il 13 gennaio 2012 durante il progetto iniziale per Data Cymru. Serviva probabilmente a verificare l’accesso prima di migrare gli utenti reali. La password assegnata era Password1. Lo strumento di valutazione di Bitwarden, citato dall’ICO, la classifica come «molto debole», con un tempo di violazione stimato inferiore a un secondo.
Le criticità non si fermano qui:
- gli account di amministratore locale sui tre sistemi colpiti avevano la stessa password;
- una volta compromesso un sistema, era possibile raccogliere gli hash degli account locali e usarli per autenticarsi sugli altri sistemi della rete;
- ONL non ha mai rivisto questi account dopo l’attivazione, che sono rimasti con le password predefinite del 2012 per oltre 12 anni e mezzo;
- mancavano procedure di controllo degli account utente nell’Active Directory di Data Cymru.
Il quadro normativo
L’ICO ha contestato a ONL la violazione dell’articolo 32 del GDPR britannico. La norma impone misure tecniche e organizzative adeguate a garantire la sicurezza dei sistemi di trattamento e di valutarle con regolarità. Anche la reprimenda separata a Data Cymru descrive carenze nelle misure di sicurezza.
David Doodson, responsabile delle indagini dell’ICO, ha dichiarato: «Password1 non è una password adeguata, è una porta spalancata per i malintenzionati». Ha aggiunto che la responsabilità non ricade su un solo soggetto: ONL ha creato l’account, ma Data Cymru manteneva il controllo complessivo della rete, compresa la facoltà di chiedere a ONL di creare o rimuovere account. Nessuno dei due aveva predisposto misure sufficientemente chiare per individuare e eliminare periodicamente gli account obsoleti.
Cosa insegna il caso
La fonte non indica raccomandazioni formali, ma le carenze evidenziate dall’ICO sono chiare. Servono revisioni periodiche degli account, in particolare di test e amministrativi. Le password predefinite vanno sostituite e quelle degli amministratori locali non devono essere identiche tra sistemi diversi. Il fornitore e il cliente devono inoltre definire con precisione chi gestisce il ciclo di vita degli account.
Fonte: theregister · Foto: theregister
