'Password1' leidt tot datalek met gegevens van ruim drieduizend mensen

In dit artikel:

Een ransomware-aanval op Data Cymru in Wales leidde eind 2024 tot een datalek met de gegevens van ongeveer 3300 mensen, voornamelijk kinderen. Aanvallers kregen via password spraying toegang tot een twaalf jaar oud testaccount op een server. Dat account, genaamd Test2, gebruikte nog altijd het zwakke wachtwoord ‘Password1’ en viel niet onder het later ingevoerde beleid dat wachtwoorden van minimaal vijftien tekens voorschreef. Omdat het account niet werd gebruikt en geen toegang had tot het organisatiedomein, was het niet gecontroleerd of verwijderd.

Na de inbraak werden onder meer een domeincontroller, fileserver en SQL-server gecompromitteerd. De aanvallers versleutelden 182 gigabyte aan data en namen 42 gigabyte mee. Ook bleken drie lokale beheerdersaccounts al meer dan twaalf jaar hetzelfde wachtwoord te gebruiken. De Britse privacytoezichthouder ICO berispte zowel Data Cymru als diens IT-dienstverlener. Volgens de toezichthouder moeten organisaties zwakke wachtwoorden verbieden, ongebruikte accounts verwijderen, hergebruik van beheerderswachtwoorden voorkomen en waar mogelijk multifactorauthenticatie inzetten.