'Parol1' və unudulmuş test hesabı Uels paltarlarını isti suda qurur

"Parol1" ilə qorunan test hesabı, iki Uels təşkilatı üçün tənzimləyici töhmətlərə səbəb olan ransomware hücumunda əsasən uşaqlar olan 3300 nəfərin şəxsi məlumatlarını oğurlamağa kömək etdi.

Məlumat Komissiyasının Ofisi (ICO) Ogi Networks Limited (ONL) və Data Cymru kimi tanınan Yerli Hökumət Məlumat Birliyinə - Uels-ə cərimələr əvəzinə töhmət verdi.

ICO-ya görə, altnet ONL server və əlaqə infrastrukturu, lisenziyalaşdırma və Data Cymru-ya dəstək təmin edib ki, bu da Uels üzrə dövlət qurumlarına məlumatlardan səmərəli istifadə etməyə kömək edir.

2024-cü il noyabrın 1-də Data Cymru ransomware hücumuna məruz qaldı, bir yaramaz onun şəbəkəsinə sızmaq və fayl serverində və daxili verilənlər bazası serverində yerləşən 182,7 GB məlumatı şifrələmək üçün Test2 adlı test hesabından istifadə etdi.

"Ransomware-i yerləşdirməzdən əvvəl, təhdid aktyoru əsas domen nəzarətçisindən, fayl serverindən və SQL serverindən 42 GB məlumatı çıxarıb" dedi ICO çərşənbə axşamı ONL [PDF] ilə bağlı töhmətində.

ONL, ICO-ya test hesabını 13 yanvar 2012-ci ildə Data Cymru üçün ilkin layihəsi zamanı yaratdığını söylədi.

"ONL təsdiq etdi ki, "Test2" hesabının yaradılması, ehtimal ki, "real" istifadəçiləri öz xidmətlərinə köçürməzdən əvvəl istifadəçi hesabına girişi yoxlamaq məqsədi daşıyırdı" dedi ICO. "O yaradılan zaman "Test2" hesabına "Parol1" parolu verildi."

ICO, Bitwarden-in parol gücləndirici alətinə istinad etdi, bu alət "Password1"-i "çox zəif" olaraq qiymətləndirdi və bir saniyədən az bir krekinq müddətini təxmin etdi.

"Üç təsirə məruz qalmış sistemdə yerli administrator hesablarının hamısı eyni parola malik idi. Bu o demək idi ki, bir sistem pozulduqda yerli hesab heşləri toplanaraq Data Cymru şəbəkəsindəki digər sistemlərə girişi təsdiqləmək üçün təhlükə aktoru tərəfindən istifadə oluna bilərdi", - tənzimləyici əlavə edib.

"ONL təsdiq etdi ki, ilkin tətbiqindən sonra yerli administrator hesabları ilə bağlı heç bir araşdırma aparmayıb. Bu o deməkdir ki, bu hesablar istifadə edilib-edilməməsindən asılı olmayaraq aktiv qalıb və ONL-in Data Cymru ilə ilkin layihəsinin bir hissəsi kimi 2012-ci ilin yanvarında yaradılan zaman təyin edilmiş eyni standart parollardan istifadə etməyə davam edib, 12,5 ildən artıqdır."

Məlumatlara nəzarət orqanı, emal sistemlərinin və xidmətlərinin təhlükəsiz olmasını təmin etmək üçün "müvafiq texniki və təşkilati tədbirləri" yerinə yetirmədiyi və bu tədbirləri mütəmadi olaraq qiymətləndirmədiyi və ya qiymətləndirmədiyi üçün Böyük Britaniya GDPR-nin 32-ci maddəsinə əsasən ONL-ni danladı. ONL-nin Data Cymru-nun Active Directory daxilində istifadəçi hesablarını yoxlamaq üçün heç bir yoxlama proseduru olmadığını aşkar etdi.

ICO-nun Data Cymru-ya [PDF] ayrıca töhməti də onun təhlükəsizlik tənzimləmələrindəki uğursuzluqları ətraflı təsvir edir.

"Parol1 uyğun parol deyil, o, mənfur aktyorlar üçün açıq qapıdır" dedi ICO-nun araşdırmalar rəhbəri David Doodson. “Bu hadisə artıq lazım olmayan hesaba əlavə edilmiş tək zəif parolun minlərlə insana təsir edə biləcək ciddi kiberhücum üçün qapını necə açıq qoya biləcəyini göstərir.