Um ataque de ransomware que explorou uma conta de teste com a senha "Password1" resultou na exposição de dados pessoais de 3.300 indivíduos, a maioria crianças, em duas organizações no País de Gales. O incidente levou a reprimendas por parte do Information Commissioner's Office (ICO), o órgão regulador de proteção de dados do Reino Unido, que destacou falhas significativas em segurança cibernética. As organizações afetadas foram a Ogi Networks Limited (ONL) e a Local Government Data Unit – Wales, conhecida como Data Cymru.

Segundo o ICO, a ONL fornecia infraestrutura de servidores, conectividade e suporte à Data Cymru, que atua auxiliando órgãos públicos galeses na gestão de dados. Em 1º de novembro de 2024, a Data Cymru sofreu o ataque. Um cibercriminoso explorou uma conta de teste chamada "Test2" para acessar a rede, criptografar 182,7 GB de dados e exfiltrar 42 GB de informações de servidores primários e de banco de dados antes de implantar o ransomware. A conta "Test2", criada em janeiro de 2012 pela ONL durante um projeto inicial para a Data Cymru, utilizava a senha "Password1", classificada como "muito fraca" e com tempo de quebra inferior a um segundo por ferramentas de análise de força de senha.

Falhas de Segurança e Responsabilidade Compartilhada

A investigação do ICO revelou que as contas de administrador local nos três sistemas comprometidos possuíam a mesma senha. Isso permitiu que, após a violação de um sistema, o invasor utilizasse os hashes de credenciais coletados para se autenticar em outros sistemas na rede da Data Cymru. A ONL admitiu não ter realizado revisões periódicas das contas de administrador local desde sua criação em 2012, mantendo-as ativas e com as senhas padrão por mais de 12,5 anos. O órgão regulador reprimiu a ONL sob o Artigo 32 do UK GDPR, por falhar em implementar medidas técnicas e organizacionais apropriadas para garantir a segurança dos sistemas e por não avaliar regularmente a eficácia dessas medidas. A Data Cymru também foi repreendida por falhas em seus arranjos de segurança.

A Porta Aberta das Senhas Fracas

David Doodson, chefe de investigações do ICO, enfatizou a gravidade do incidente, declarando que "Password1" representa "uma porta aberta para atores nefastos". Ele ressaltou como uma única senha fraca, associada a uma conta desnecessária, pode levar a um sério ataque cibernético com potencial de afetar milhares de pessoas. A responsabilidade, segundo o ICO, não recai sobre uma única entidade. Enquanto a ONL criou a conta de teste com a senha vulnerável, a Data Cymru manteve o controle geral de sua rede, incluindo a capacidade de solicitar a criação ou remoção de contas. Ambas as organizações falharam em estabelecer medidas claras e eficazes para identificar e remover contas antigas rotineiramente, permitindo que a vulnerabilidade persistisse por mais de uma década.

Implicações para a Segurança de Dados

Este caso sublinha a importância crítica da gestão de senhas e do ciclo de vida das contas de usuário em ambientes corporativos. A persistência de senhas fracas e contas inativas por longos períodos cria vetores de ataque significativos, especialmente em organizações que lidam com dados sensíveis, como é o caso de órgãos públicos que gerenciam informações de cidadãos. A decisão do ICO de emitir reprimendas, em vez de multas, pode refletir a colaboração das empresas em relatar o incidente e a implementação de medidas corretivas, mas serve como um alerta severo. A falha em realizar auditorias regulares e em impor políticas de segurança robustas demonstra uma negligência que pode ter consequências devastadoras.

Perguntas em Aberto e o Futuro da Segurança

O incidente levanta questões sobre a eficácia das auditorias de segurança e a cultura de gestão de riscos em empresas de tecnologia que prestam serviços a órgãos públicos. Qual o nível de diligência esperado de fornecedores de infraestrutura de TI? Como os órgãos públicos podem garantir que seus parceiros tecnológicos mantenham padrões de segurança adequados ao longo do tempo? A falta de revisão de contas de administrador e a reutilização de senhas fracas, mesmo em contas de teste, indicam uma necessidade urgente de reforçar as melhores práticas de cibersegurança, incluindo a adoção de autenticação multifator e a implementação de políticas rigorosas de desativação e rotação de senhas. A contínua dependência de senhas simples em sistemas críticos continua a ser um ponto cego perigoso.

A natureza do ataque, explorando uma falha tão básica e antiga, serve como um lembrete sombrio de que as ameaças cibernéticas mais perigosas podem advir de vulnerabilidades conhecidas e negligenciadas. A exposição de dados de crianças, em particular, exige uma atenção redobrada e a aplicação de medidas de proteção ainda mais rigorosas, conforme estipulado pelas leis de proteção de dados. A comunidade de cibersegurança continuará a monitorar como ONL e Data Cymru abordam estas deficiências para evitar futuras violações.

Com reportagem de Brazil Valley

Source · The Register