Tài khoản test 'Password1' gây rò rỉ dữ liệu 3.300 người ở Wales
"A ransomware attack against Data Cymru, a Welsh data unit, exposed the personal data of 3,300 individuals, primarily children. The breach occurred due to exploitation of a test account ('Test2') with the default password 'Password1', created in 2012. The ICO issued reprimands to both Data Cymru and its infrastructure provider, Ogi Networks, for failures in account management and security measures."
Sự cố này cho thấy mật khẩu yếu và quản lý tài khoản kém có thể dẫn đến rò rỉ dữ liệu nghiêm trọng.
Sự cố này gây tổn hại đến uy tín của Data Cymru và Ogi Networks, đồng thời có thể dẫn đến thiệt hại tài chính do chi phí khắc phục và bồi thường.
Vào tháng 11 năm 2024, một cuộc tấn công ransomware đã đánh cắp dữ liệu cá nhân của 3.300 người, chủ yếu là trẻ em, từ Data Cymru, một đơn vị dữ liệu của Wales. Nguyên nhân là do tài khoản test 'Test2' với mật khẩu mặc định 'Password1' được tạo từ năm 2012.
Sự việc này khiến ICO (Văn phòng Ủy ban Thông tin) đưa ra cảnh cáo cho cả Data Cymru và nhà cung cấp hạ tầng Ogi Networks (ONL) vì thiếu sót trong quản lý tài khoản và các biện pháp bảo mật. ONL cung cấp hạ tầng máy chủ, kết nối, cấp phép và hỗ trợ cho Data Cymru, đơn vị giúp các cơ quan công quyền ở Wales sử dụng dữ liệu hiệu quả hơn.
Theo ICO, kẻ tấn công đã khai thác tài khoản 'Test2' để xâm nhập mạng, mã hóa 182.7 GB dữ liệu trên máy chủ tệp và máy chủ cơ sở dữ liệu SQL. Trước khi triển khai ransomware, kẻ tấn công đã đánh cắp 42 GB dữ liệu từ bộ điều khiển miền chính, máy chủ tệp và máy chủ SQL. ONL xác nhận tài khoản 'Test2' được tạo vào ngày 13 tháng 1 năm 2012 để kiểm tra quyền truy cập trước khi chuyển người dùng thực tế sang dịch vụ của họ.
ICO dẫn công cụ đánh giá mật khẩu của Bitwarden, cho biết 'Password1' là mật khẩu 'rất yếu' và có thể bị bẻ khóa trong vòng chưa đầy một giây. Các tài khoản quản trị viên cục bộ trên ba hệ thống bị ảnh hưởng đều sử dụng cùng một mật khẩu. Điều này cho phép kẻ tấn công thu thập hash tài khoản cục bộ và sử dụng để truy cập các hệ thống khác trên mạng Data Cymru. ONL thừa nhận không thực hiện đánh giá định kỳ đối với các tài khoản quản trị viên cục bộ, khiến các tài khoản này vẫn hoạt động hơn 12.5 năm với mật khẩu mặc định ban đầu.
ICO chỉ trích ONL vi phạm Điều 32 của UK GDPR vì không triển khai các biện pháp kỹ thuật và tổ chức phù hợp để đảm bảo an toàn cho hệ thống và dịch vụ, đồng thời không đánh giá thường xuyên các biện pháp này. ONL không có quy trình kiểm tra để rà soát tài khoản người dùng trong Active Directory của Data Cymru. https://www.theregister.com/2026/10/20/password1_data_cymru_ogi_networks/
Câu hỏi thường gặp
Sự cố này xảy ra khi nào?
Cuộc tấn công ransomware xảy ra vào tháng 11 năm 2024, sau khi kẻ tấn công khai thác tài khoản test 'Test2' với mật khẩu 'Password1'.
Có bao nhiêu người bị ảnh hưởng bởi sự cố này?
Khoảng 3.300 người, chủ yếu là trẻ em, bị ảnh hưởng bởi sự cố rò rỉ dữ liệu này.
Ai chịu trách nhiệm trong sự cố này?
ICO đưa ra cảnh cáo cho cả Data Cymru và Ogi Networks vì thiếu sót trong quản lý tài khoản và các biện pháp bảo mật.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự việc này cho thấy tầm quan trọng của việc thay đổi mật khẩu mặc định và thực hiện kiểm tra bảo mật định kỳ, đặc biệt đối với các tài khoản test. Các doanh nghiệp Việt Nam, đặc biệt là các tổ chức chính phủ hoặc tổ chức lưu trữ dữ liệu nhạy cảm, nên xem xét kỹ lưỡng quy trình quản lý tài khoản và đảm bảo tuân thủ các tiêu chuẩn bảo mật. Điều đáng chú ý là việc sử dụng mật khẩu yếu như 'Password1' có thể dẫn đến hậu quả nghiêm trọng, bao gồm rò rỉ dữ liệu và tổn thất tài chính.