英国の情報コミッショナーオフィス（ICO）の調査により、ウェールズで数千人の子どもとその家族の個人情報が流出したことが明らかになりました。ランサムウェア攻撃者が、パスワードが「Password1」だったアカウントを侵害したことが原因です。
データ保護当局であるICOは、2024年11月に発生したこのインシデントのセキュリティ上の不備を理由に、Ogi Networks Limited（ONL）と、Data Cymruの名で知られるLocal Government Data Unit – Walesに対して譴責処分を出しました。
Data Cymruはウェールズ政府が資金を提供する組織で、地方議会などの機関がデータを効果的に探索・収集・分析・提示できるよう支援する役割を担っています。
ONLは2012年から、Data Cymruの外部ITサービスプロバイダーを務めてきました。
攻撃の経緯
攻撃者は、「Test 2」というテスト用アカウントを侵害し、Data Cymruのネットワークに最初に侵入しました。このアカウントは12年以上前から存在し、パスワード「Password1」だけで保護されていました。
このアカウントを足がかりに、攻撃者はData Cymruのネットワークに侵入しました。そして、ファイルサーバーと内部のデータベース（SQL）サーバーに保存されていた182.7GBのデータを暗号化しました。
攻撃者はランサムウェアを展開する前に、プライマリドメインコントローラー、ファイルサーバー、SQLサーバーから42GBのデータを外部へ持ち出していました。流出したのは、ウェールズの子どもと家族を支援する2つのプロジェクトに関する情報です。その中には3300人の個人データが含まれ、大半は子どもでした。
ICOの調査責任者デビッド・ドッドソン氏は、両組織を次のように批判しました。「Password1は適切なパスワードではなく、悪意ある攻撃者に向けて大きく開け放たれた扉です。今回のインシデントは、不要になったアカウントに設定された弱いパスワードがひとつあるだけで、重大なサイバー攻撃を招き、数千人に影響が及びかねないことを示しています」
罰金は科されず
ONLとData Cymruはいずれも、英国GDPRに複数の点で違反していたと認定されました。
ONLの不備は次のとおりです。
- アカウントに適切なパスワード強度と複雑性の要件を適用していなかった
- Data Cymruのネットワーク内に自ら作成したアカウントを定期的に監査せず、運用上不要なテスト用アカウントを12年以上放置した
- ローカル管理者アカウントを、初期導入後に見直していなかった
Data Cymruについては、次のような不備が指摘されました。ONLとの間に、復処理者を選任する際に法律で義務付けられたデータ保護条項を盛り込んだ契約がありませんでした。また、アカウントの見直しも予定や定例に基づいておらず、Active Directoryの全内容を対象にしていませんでした。
ICOは10月20日に公表した譴責処分の中で、両組織の違反は特定も是正もされないまま続いていたと述べました。
ただし、いずれの組織にも金銭的な制裁は科されていません。ICOは、インシデント後に講じられた改善策を評価しました。ONLはアカウントのアクセス制御を強化し、Data CymruとONLは法令に準拠したデータ処理契約を結びました。
ドッドソン氏は次のように述べています。「あらゆる組織にとっての教訓は明快です。強力なパスワードを使い、リモートアクセスを多要素認証で保護し、すべてのユーザーアカウントを定期的に見直し、サービスを外部委託する際はサイバーセキュリティの責任者を完全に明確にすることです。基本的なサイバーセキュリティ対策は任意ではありません。これを怠れば、深刻な結果を招きかねません」
翻訳元: https://www.infosecurity-magazine.com/news/children-data-stolen-password1/
