サイバー犯罪
英情報コミッショナー事務局（ICO）、ランサムウェア被害で主に子どもを中心とする3,300人の情報が流出した件で、Ogi NetworksとData Cymruに戒告
「Password1」というパスワードで保護されたテストアカウントが悪用され、侵入者が主に子どもを中心とする3,300人分の個人データを盗み出しました。このランサムウェア攻撃をめぐり、ウェールズの2組織が規制当局から戒告を受けています。
英情報コミッショナー事務局（ICO）は、Ogi Networks Limited（ONL）とLocal Government Data Unit – Wales（通称Data Cymru）に対し、制裁金ではなく戒告処分を下しました。
ICOによると、オルトネット（新興通信事業者）のONLは、ウェールズ全域の公的機関によるデータの有効活用を支援するData Cymruに対し、サーバーおよび接続インフラ、ライセンス、サポートを提供していました。
2024年11月1日、Data Cymruはランサムウェア攻撃を受けました。攻撃者は「Test2」というテストアカウントを悪用してネットワークに侵入し、ファイルサーバーと内部データベースサーバーにあった182.7GBのデータを暗号化しました。
「攻撃者はランサムウェアを展開する前に、プライマリドメインコントローラー、ファイルサーバー、SQLサーバーから42GBのデータを持ち出していた」。ICOは火曜日に公表したONLに対する戒告書 [PDF]で、こう指摘しています。
ONLはICOに対し、このテストアカウントはData Cymru向けの初期プロジェクト中の2012年1月13日に作成したものだと説明しました。
ICOは次のように述べています。「ONLによると、『Test2』アカウントは、『本番』ユーザーを自社サービスへ移行する前に、ユーザーアカウントへのアクセスを検証する目的で作成されたとみられる。作成時に、このアカウントには『Password1』というパスワードが設定されていた」
ICOはBitwardenのパスワード強度チェックツールを引用しています。同ツールは「Password1」を「非常に弱い」と判定し、解読にかかる時間を1秒未満と見積もっています。
規制当局はさらに、次のように指摘しました。「影響を受けた3台のシステムでは、ローカル管理者アカウントがすべて同じパスワードだった。このため、1台が侵害された時点で、攻撃者はローカルアカウントのハッシュを収集し、Data Cymruのネットワーク上にある他のシステムへの認証に利用できた」
「ONLは、ローカル管理者アカウントについて、初期導入後に一度も見直しを行っていないと認めた。その結果、これらのアカウントは使用の有無にかかわらず有効なまま放置された。2012年1月にData Cymruとの初期プロジェクトの一環として設定された既定のパスワードが、12年半以上にわたって使われ続けていた」
データ保護当局は、英国GDPR第32条に基づき、ONLに戒告を出しました。処理システムやサービスの安全性を確保するための「適切な技術的・組織的措置」を講じず、その措置を定期的に評価・検証していなかったためです。ONLには、Data CymruのActive Directory内のユーザーアカウントを見直す監査手順がなかったことも判明しました。
ICOはData Cymruに対しても別途戒告書 [PDF]を出し、同組織のセキュリティ体制の不備を詳しく指摘しています。
ICOの調査部門責任者デビッド・ドードソン氏は、「Password1は適切なパスワードではなく、悪意ある者に開け放たれた扉だ」と述べています。「今回の事案は、不要になったアカウントに付けられた1つの脆弱なパスワードが、数千人に影響しうる深刻なサイバー攻撃への扉を開いてしまうことを示している」
「これらの不備の責任は、どちらか一方の組織だけにあるわけではない。ONLはテストアカウントを作成し、Data Cymruはアカウントの作成や削除をONLに指示できる立場として、ネットワーク全体の管理権限を保持していた。しかし、どちらも古いアカウントを定期的に洗い出して削除するための、十分に明確で有効な対策を講じていなかった」®
