Door zwak wachtwoord op slapend account werden gegevens van 3.300 mensen blootgesteld, zegt toezichthouder

Een slapend testaccount dat was beveiligd met het wachtwoord “Password1” werd gebruikt bij een cyberaanval in 2024, waarbij persoonsgegevens van 3.300 mensen, voornamelijk kinderen, werden blootgesteld, meldt het Britse Information Commissioner’s Office (ICO). De toezichthouder heeft IT-leverancier Ogi Networks Limited (ONL) en de Welshe publieke organisatie Data Cymru terechtgewezen vanwege het incident. [1]

Bij de ransomwareaanval op 1 november 2024 werd 182,7GB aan gegevens versleuteld en werd 42GB van de systemen van Data Cymru gestolen. De blootgestelde informatie had betrekking op twee projecten ter ondersteuning van kinderen en gezinnen, volgens het verslag van de BBC over de bevindingen van het ICO.

Het testaccount, Test2 genaamd, werd in 2012 aangemaakt en bleef meer dan twaalf jaar bestaan zonder te worden gecontroleerd of verwijderd. Het ICO zei dat het wachtwoord in minder dan één seconde kon worden gekraakt. Ook stelde het vast dat beheerdersaccounts op drie getroffen systemen gedurende die periode hetzelfde wachtwoord hadden gebruikt.

De toezichthouder zei dat beide organisaties de vereisten van de Britse AVG hadden geschonden door hun systemen niet goed te beveiligen en niet regelmatig te controleren of de beveiligingsmaatregelen effectief waren. Data Cymru had volgens de toezichthouder geen overeenkomst over gegevensbescherming gesloten met ONL, waardoor onduidelijkheid ontstond over de verantwoordelijkheden van de organisaties. Ook verweet de toezichthouder Data Cymru dat het niet had gezorgd dat het slapende account werd opgespoord en verwijderd, of dat er strengere wachtwoordnormen voor gingen gelden.

ONL zei de bevindingen van het ICO te aanvaarden en ernaar te hebben gehandeld. Een woordvoerder zei dat het account “should have been removed long before criminals were able to use it” en dat het bedrijf onafhankelijke cyberbeveiligingsspecialisten had ingeschakeld. De woordvoerder zei dat het datalek beperkt bleef tot de server die ONL voor Data Cymru hostte en geen gevolgen had voor informatie van andere klanten.

Beide organisaties hebben sindsdien de accountbeveiliging aangescherpt, onder meer met multifactorauthenticatie, en periodieke controles ingevoerd. ONL zei dat het binnen een week na de aanval samen met Data Cymru de accounts op zijn netwerk controleerde en accounts uitschakelde die niet langer nodig waren. De organisaties ondertekenden op 30 april 2025 een overeenkomst voor gegevensverwerking.

David Doodson, hoofd onderzoek bij het ICO, zei dat de tekortkomingen niet alleen aan één organisatie waren toe te schrijven. De toezichthouder riep organisaties op sterke wachtwoorden te gebruiken, externe toegang met multifactorauthenticatie te beveiligen, accounts regelmatig te controleren en duidelijk vast te leggen wie verantwoordelijk is voor cyberbeveiliging wanneer diensten worden uitbesteed.