Un atac cibernetic desfășurat în Marea Britanie a compromis datele personale ale aproximativ 3.300 de persoane, majoritatea fiind copii. Incidentul a fost posibil prin exploatarea unui cont de testare care nu mai era necesar, dar care a rămas activ în rețea. Autoritatea britanică pentru protecția datelor, Information Commissioner’s Office (ICO), a emis avertismente oficiale împotriva companiei de telecomunicații Ogi Networks Limited (ONL) și a organizației Data Cymru, din cauza încălcării normelor GDPR.
Problema centrală a fost un cont de testare denumit „Test 2”, creat de ONL în rețeaua Data Cymru, care a fost lăsat activ timp de peste 12 ani. Acest cont era protejat exclusiv de parola „Password1”, o variantă clasificată drept „foarte slabă” de către instrumentele de evaluare a securității. Conform constatărilor ICO, o astfel de parolă putea fi compromisă de atacatori în mai puțin de o secundă, oferind acces neautorizat la informații sensibile.
În urma atacului de tip ransomware, infractorii cibernetici au reușit să sustragă un volum de date de peste 180 GB. Din acest total, 42 GB de informații proveneau direct din sistemele gestionate de Data Cymru. Ancheta a relevat că ONL nu a aplicat cerințe de complexitate a parolelor și nici nu a efectuat verificări periodice ale conturilor. Contul respectiv a fost creat în ianuarie 2012, rămânând funcțional și peste șase ani după implementarea obligațiilor GDPR.
Responsabilitatea pentru breșa de securitate a fost repartizată între ambele entități implicate. David Doodson, șeful departamentului de investigații al ICO, a explicat că ONL a creat contul, însă Data Cymru a menținut controlul asupra rețelei și ar fi trebuit să solicite eliminarea conturilor inutile. Organizația Data Cymru a fost criticată și pentru lipsa unui contract cu ONL care să includă clauzele obligatorii de protecție a datelor și pentru eșecul de a asigura actualizarea conturilor.
Ca măsură de remediere, ONL și Data Cymru au încheiat un contract de prelucrare a datelor care respectă cerințele legale. Cele două entități au consolidat procedurile de verificare a conturilor utilizatorilor, implementând de asemenea autentificarea multifactor. David Doodson a subliniat că organizațiile trebuie să utilizeze parole puternice și să stabilească clar cine este responsabil pentru securitatea cibernetică atunci când serviciile sunt externalizate, deoarece măsurile de bază nu sunt opționale.
Reglementările GDPR impun companiilor și organizațiilor obligații stricte privind protecția datelor cu caracter personal, inclusiv implementarea unor măsuri tehnice și organizatorice adecvate. Încălcarea acestor norme, prin menținerea conturilor vechi sau utilizarea parolelor vulnerabile, poate atrage sancțiuni severe din partea autorităților de supraveghere, precum ICO în Marea Britanie, în vederea asigurării unui nivel ridicat de securitate pentru cetățeni.