Hackeri ukradli údaje tisícok detí. Neuveríte, aké heslo ich malo chrániť

K útoku došlo 1. novembra 2024, keď sa hackeri dostali do systémov waleskej organizácie Data Cymru. Využili pritom testovací účet s názvom Test2, ktorý bol vytvorený ešte v roku 2012 a odvtedy nebol odstránený. Účet bol zabezpečený heslom „Password1“, ktoré podľa britského Úradu komisára pre informácie (ICO) možno prelomiť za menej než jednu sekundu. O zisteniach úradu informovala BBC.

Slabé heslo otvorilo cestu k tisíckam údajov

Počas útoku hackeri zašifrovali 182,7 gigabajtu dát a ďalších 42 gigabajtov zo systémov organizácie odcudzili. Únik sa týkal osobných údajov približne 3 300 ľudí, prevažne detí. Informácie pochádzali z dvoch projektov zameraných na podporu detí a rodín.

Vedúci vyšetrovania ICO David Doodson upozornil, že takto jednoduché heslo nemalo byť nikdy používané na ochranu citlivých systémov. „Password1 nie je vhodné heslo. Je to dokorán otvorená brána pre ľudí so zlými úmyslami,“ vyhlásil.

Podľa neho prípad ukazuje, aké vážne následky môže mať jediný zabudnutý účet. „Tento incident ukazuje, ako môže jediné slabé heslo spojené s účtom, ktorý už nebol potrebný, otvoriť cestu k závažnému kybernetickému útoku, ktorý zasiahne tisíce ľudí,“ dodal.

Prečítajte si tiež

Ak chcete bezpečné heslo, na týchto desať zabudnite

Testovací účet zostal aktívny viac než 12 rokov

Vyšetrovanie odhalilo, že spoločnosť Ogi Networks Limited (ONL), ktorá poskytovala organizácii Data Cymru IT služby, vytvorila testovací účet v roku 2012. Následne ho viac než 12 rokov nekontrolovala ani neodstránila. Problém sa pritom netýkal iba jedného účtu. Rovnaké heslo používali aj lokálne administrátorské účty na troch zasiahnutých systémoch, pričom ani tie neprechádzali pravidelnou kontrolou.

Úrad ICO dospel k záveru, že obe organizácie porušili britské pravidlá ochrany osobných údajov. Nedokázali dostatočne zabezpečiť svoje systémy ani pravidelne preverovať účinnosť zavedených bezpečnostných opatrení.

Prečítajte si tiež

Hackeri zaútočili na chladničky v stovkách supermarketov. Škody sú v miliónoch

Za bezpečnosť údajov nezodpovedala jasne ani jedna organizácia

Vyšetrovatelia upozornili aj na nedostatky vo vzájomnej spolupráci oboch organizácií. Data Cymru nemala so spoločnosťou ONL uzatvorenú potrebnú zmluvu o spracúvaní osobných údajov. Medzi organizáciami tak vznikla nejasnosť v tom, kto nesie zodpovednosť za jednotlivé bezpečnostné opatrenia.

Data Cymru zároveň nezabezpečila, aby bol nepoužívaný testovací účet odhalený a odstránený alebo aby jeho zabezpečenie zodpovedalo prísnejším požiadavkám na heslá.

Doodson zdôraznil, že za tieto zlyhania neniesla zodpovednosť iba jedna zo spoločností.

Po útoku sprísnili bezpečnosť

Spoločnosť ONL priznala nedostatky a uviedla, že testovací účet mal byť odstránený dávno predtým, než ho útočníci zneužili. „Do týždňa od útoku sme spolupracovali s Data Cymru na kontrole každého účtu v jej sieti a tie, ktoré už neboli potrebné, sme v ten istý deň deaktivovali,“ uviedol hovorca spoločnosti.

ONL si zároveň prizvala nezávislých odborníkov na kybernetickú bezpečnosť, ktorí mali incident vyšetriť. Obe organizácie následne zaviedli pravidelné kontroly používateľských účtov a posilnili zabezpečenie prístupu vrátane viacfaktorového overovania. Dňa 30. apríla 2025 uzatvorili aj zmluvu o spracúvaní osobných údajov, ktorá už spĺňa zákonné požiadavky.

Spoločnosť ONL zdôraznila, že útok sa týkal iba servera, ktorý prevádzkovala pre Data Cymru. Údaje ostatných zákazníkov podľa nej neboli zasiahnuté.