هکرها پس از استفاده از رمز عبور 1 توسط شرکت برای محافظت از حساب های قدیمی، داده های کودکان را سرقت می کنند

هکرها اطلاعات سیستم های Data Cymru را در سال 2024 به سرقت بردند که اطلاعات شخصی 3300 نفر را فاش کرد.

یک سازمان دیده بان داده اعلام کرد که یک حمله سایبری با دسترسی به حساب کاربری که از رمز عبور "Password1" استفاده می کرد، اطلاعات متعلق به هزاران کودک را به سرقت برده است.

دفتر کمیسر اطلاعات (ICO) پس از حمله در 1 نوامبر 2024، Ogi Networks Limited (ONL) و Data Cymru را مورد توبیخ قرار داده است.

هکرها با استفاده از یک حساب آزمایشی موسوم به Test2 که بیش از 12 سال وجود داشت و توسط رمز عبوری محافظت می‌شد که در کمتر از یک ثانیه به خطر می‌افتد، اطلاعات شخصی 3300 نفر که اکثرا کودکان بودند را افشا کردند.

ONL گفت که این حساب "باید مدتها قبل از اینکه مجرمان بتوانند از آن استفاده کنند" حذف می شد و افزود که متخصصان مستقل امنیت سایبری را جذب کرده است.

این شرکت که خدمات فناوری اطلاعات را به Data Cymru ارائه می‌کرد، گفت که یافته‌های ICO را می‌پذیرد و «بر اساس آن‌ها عمل کرده است».

مشخص شد که هر دو سازمان قوانین GDPR بریتانیا را نقض کرده‌اند.

در طول حمله باج افزار، هکرها 182.7 گیگابایت داده را رمزگذاری کردند و 42 گیگابایت را از سیستم های Data Cymru سرقت کردند. این اطلاعات شخصی مربوط به دو پروژه حمایت از کودکان و خانواده ها را افشا کرد.

دیوید دودسون، رئیس تحقیقات در دفتر کمیسیون اطلاعات، گفت: "رمز عبور 1 رمز عبور مناسبی نیست، دری کاملا باز به روی بازیگران شرور است.

این حادثه نشان می‌دهد که چگونه یک رمز عبور ضعیف، متصل به حسابی که دیگر مورد نیاز نبود، می‌تواند در را برای یک حمله سایبری جدی که می‌تواند هزاران نفر را تحت تأثیر قرار دهد، باز بگذارد.»

دودسون مسئولیت "این شکست‌ها را به تنهایی در اختیار یک سازمان قرار نداده است."

به گفته سازمان دیده بان، ONL در سال 2012 یک حساب کاربری آزمایشی ایجاد کرد و از رمز عبور "Password1" برای محافظت از آن استفاده کرد و بیش از 12 سال نتوانست آن را ممیزی یا حذف کند.

همچنین حساب‌های سرپرست محلی را پس از اولین استقرار، با حساب‌های سه سیستم آسیب‌دیده با استفاده از رمز عبور یکسان، برای مدت زمان مشابه بررسی نکرد.

سازمان دیده بان گفت که Data Cymru نتوانست توافقنامه حفاظت از داده ها را با ONL ایجاد کند و شکافی در مسئولیت بین دو سازمان وجود دارد.

همچنین گفته است که Data Cymru در اطمینان از شناسایی و حذف حساب آزمایشی غیرفعال یا به‌روزرسانی برای برآورده کردن الزامات رمز عبور قوی‌تر، شکست خورده است.

ICO اضافه کرد: «استفاده از رمزهای عبور قوی، محافظت از دسترسی از راه دور با احراز هویت چند عاملی، بررسی منظم هر حساب کاربری، و کاملا روشن بودن مسئولیت امنیت سایبری در هنگام برون سپاری خدمات» برای هر سازمانی درس بود.

به دنبال این حمله سایبری، هر دو سازمان تدابیر امنیتی قوی تری را معرفی کردند.

ICO گفت: ONL فرآیندی را معرفی کرد که مشتریان را به بررسی دوره‌ای حساب‌های فعال و ارائه توصیه‌هایی درباره حساب‌هایی که باید حذف شوند، معرفی کرد.

همچنین کنترل های دسترسی به حساب خود از جمله استفاده از احراز هویت چند عاملی را تقویت کرد.

در 30 آوریل 2025، Data Cymru و ONL یک قرارداد پردازش داده مطابق با قانون منعقد کردند.

Data Cymru همچنین بررسی های دوره ای حساب را معرفی کرد و کنترل های دسترسی حساب را تقویت کرد، از جمله استفاده از احراز هویت چند عاملی.

سخنگوی ONL گفت: «در عرض یک هفته پس از حمله، ما با Data Cymru کار کردیم تا همه حساب‌های موجود در شبکه‌اش را بررسی کنیم و آن‌هایی را که دیگر به آن‌ها نیاز نداشتند، در همان روز خاموش کردیم.

ما همچنین متخصصان مستقل امنیت سایبری را برای تحقیق وارد کردیم.»

آنها افزودند: «از آن زمان، ما از دسترسی از راه دور با احراز هویت چند عاملی محافظت کرده‌ایم و بررسی‌های منظم حساب را برای مشتریانی که از شبکه‌های آنها مراقبت می‌کنیم، معرفی کرده‌ایم، بنابراین حساب‌هایی که مورد نیاز نیستند پیدا و حذف می‌شوند.

"این محدود به سروری بود که ما برای Data Cymru میزبانی کردیم. هیچ اطلاعات مشتری دیگری که توسط ONL نگهداری می شود تحت تأثیر قرار نگرفت.

60 سال بعد: فاجعه آبرفان از نگاه کسانی که جان سالم به در بردند

The Trip's Rob Brydon در اصل مخالف بازی کردن نسخه خیالی خودش بود

طوفان آستن با بادهایی با سرعت 70 مایل در ساعت سواحل ولز را درنوردید