一场网络攻击通过访问一个使用密码 'Password1' 的账户窃取了数千名儿童的信息，数据监管机构表示。信息专员办公室（ICO）在2024年11月1日的攻击后对Ogi Networks Limited（ONL）和Data Cymru进行了训斥。黑客通过一个存在超过12年的测试账户（被称为Test2）暴露了3,300人的个人信息，这些人主要是儿童，而这个账户的密码在不到一秒钟内就可以被破解。ONL表示，该账户“早该在犯罪分子能够使用之前就被删除”，并补充说他们已经引入了独立的网络安全专家。为Data Cymru提供IT服务的这家公司表示，他们接受了ICO的调查结果，并“对此采取了行动”。Data Cymru已被联系以作评论。两家机构都被发现违反了英国GDPR法规，外部审计未能适当地保护其系统，并且未定期检查其安全措施是否有效。在勒索软件攻击期间，黑客加密了182.7GB的数据并从Data Cymru的系统中窃取了42GB的数据。这暴露了与两个支持儿童和家庭的项目相关的个人信息。信息专员办公室的调查负责人David Doodson表示：“'Password1' 不是一个合适的密码，它是一个对恶意行为者敞开的广阔大门。此事件表明，一个单一的弱密码附加在一个不再需要的账户上，会为影响成千上万人的严重网络攻击敞开大门。”Doodson补充说，“这些失败的责任并不只在一个组织身上”。根据监管机构的说法，ONL在2012年创建了一个测试账户，并使用密码 'Password1' 进行保护，超过12年未进行审计或删除。它还没有在首次部署后审查本地管理员账户，三个受影响系统上的账户在同一段时间内使用相同的密码。监管机构表示，Data Cymru未能与ONL签订数据保护协议，并且两家机构之间存在责任的空白。它还表示，Data Cymru未能确保消除或更新闲置的测试账户以符合更强的密码要求。ICO补充说，这是对每个组织的教训，即“使用强密码，通过多因素认证保护远程访问，定期审查每个用户账户，并明确了解外包服务时，谁对网络安全负责”。在网络攻击之后，两家机构都采取了更强的安全措施。ONL引入了一种流程，提示客户定期检查活动账户，并提供关于应删除账户的建议，ICO表示。它还加强了账户访问控制，包括使用多因素认证。在2025年4月30日，Data Cymru与ONL签订了符合规定的数据处理合同。Data Cymru还引入了定期账户审查，并加强了账户访问控制，包括使用多因素认证。ONL的一位发言人表示：“在攻击发生一周内，我们与Data Cymru合作检查了其网络上的每个账户，并在同一天关闭了不再需要的账户。”“我们还引入了独立的网络安全专家进行调查。”他们补充说：“从那时起，我们通过多因素认证保护远程访问，并为我们负责管理的客户引入了定期账户审查，以便能够找到并删除不再需要的账户。此事件仅限于我们为Data Cymru托管的服务器。ONL所持有的其他客户信息没有受到影响。