Un mot de passe extrêmement faible a permis à des pirates d’accéder aux données personnelles de milliers d’enfants. L’autorité britannique de protection des données, l’Information Commissioner’s Office (ICO), a sanctionné l’opérateur internet Ogi Networks Limited (ONL) et l’unité gouvernementale galloise Data Cymru pour une violation du Règlement Général sur la Protection des Données (RGPD).
Les informations de 3300 personnes, en majorité des enfants issues de programmes familiaux, ont été exposées. L’attaque a exploité un compte de test baptisé « Test 2 », qui était actif depuis douze ans sur le réseau de Data Cymru. Son seul mot de passe était « Password1« .
David Doodson, chef des enquêtes à l’ICO, a qualifié ce mot de passe de « porte grande ouverte » pour les cybercriminels. Une vérification avec un outil tiers a montré que ce code était « très faible » et pouvait être craqué en moins d’une seconde.
« Cette affaire démontre qu’un seul mot de passe faible, lié à un compte qui n’est plus utile, peut provoquer une attaque qui touche des milliers de personnes », a-t-il expliqué. Il a souligné que la responsabilité était partagée : ONL a créé le compte, mais Data Cymru gardait le contrôle final de son réseau. Aucune des deux organisations n’a mis en place de procédures pour identifier et supprimer les comptes obsolètes.
L’enquête a révélé que ce compte de test, jugé « inutile sur le plan opérationnel », est resté en ligne plus de douze ans, dont six ans après l’entrée en vigueur du RGPD. ONL n’a pas appliqué de règles de complexité pour les mots de passe et n’a pas audité régulièrement les comptes. Sur trois systèmes affectés, des comptes conservaient le même mot de passe depuis plus d’une décennie.
Data Cymru a également été critiquée car elle n’avait pas établi de contrat contraignant avec ONL pour encadrer la protection des données. L’organisme n’a pas veillé à ce que le compte dormant soit supprimé ou mis à jour.
L’attaque, de type rançongiciel (ransomware), a entraîné le vol de plus de 180 Go de données, dont 42 Go provenaient des systèmes de Data Cymru.
Suite à cet incident, les deux entités ont signé un contrat de traitement des données conforme. Elles ont renforcé leurs processus de vérification des comptes et ont généralisé l’authentification multifacteur.
Un porte-parole d’Ogi Networks Limited a déclaré que l’attaque était limitée au serveur hébergeant Data Cymru et qu’aucune autre donnée client d’ONL n’a été touchée. L’entreprise affirme avoir agi dans la semaine suivant l’attaque pour vérifier tous les comptes et désactiver ceux qui étaient superflus.