İngiltere'de hackerlar 'Password1' şifresiyle çocukların verilerini çaldı

İngiltere'de 1 Kasım 2024 tarihinde Data Cymru'nun sistemlerine yapılan siber saldırıda, çoğu çocuk olmak üzere 3.300 kişinin kişisel bilgileri çalındı. Bilgi Komisyonu Ofisi (Information Commission's Office - ICO), saldırının 'Password1' şifresiyle korunan ve 12 yıldan uzun süredir var olan bir test hesabı üzerinden gerçekleştiğini açıkladı.

Saldırıda hackerlar, Data Cymru sistemlerinden 42GB veri çaldı ve 182,7GB veriyi şifreledi. Ele geçirilen bilgiler, çocukları ve aileleri destekleyen iki projeye ait kişisel verileri içeriyordu. ICO, hem Ogi Networks Limited (ONL) hem de Data Cymru'yu İngiltere GDPR kurallarını ihlal ettikleri gerekçesiyle kınadı.

Hesap 12 yıl boyunca denetlenmedi

ICO'nun tespitlerine göre ONL, 2012'de 'Test2' adında bir test hesabı oluşturdu ve bu hesabı 'Password1' şifresiyle korudu. Hesap, 12 yıldan fazla bir süre boyunca denetlenmedi ve kaldırılmadı. Ayrıca, ilk kurulumdan sonra yerel yönetici hesapları da gözden geçirilmedi; etkilenen üç sistemdeki hesaplar aynı dönemde aynı şifreyi kullandı.

Data Cymru'nun ise ONL ile bir veri koruma anlaşması yapmadığı ve iki kuruluş arasında sorumluluk boşluğu bulunduğu belirtildi. Data Cymru'nun ayrıca kullanılmayan test hesabını tespit edip kaldırmadığı veya daha güçlü şifre gereksinimlerine uygun hale getirmediği ifade edildi.

ICO'da soruşturma başkanı David Doodson, "Password1 uygun bir şifre değil, kötü niyetli aktörlere açık bir kapıdır. Bu olay, artık ihtiyaç duyulmayan bir hesaba bağlı tek bir zayıf şifrenin, binlerce kişiyi etkileyebilecek ciddi bir siber saldırıya nasıl yol açabileceğini gösteriyor" dedi. Doodson, sorumluluğun tek bir kuruluşa ait olmadığını da sözlerine ekledi.

İhlaller ve alınan önlemler

ICO, ONL'nin saldırıdan sonra harekete geçtiğini belirtti. Şirket, müşterilerini aktif hesapları düzenli olarak gözden geçirmeye teşvik eden bir süreç başlattı ve çok faktörlü kimlik doğrulama dahil olmak üzere hesap erişim kontrollerini güçlendirdi. Data Cymru da düzenli hesap incelemeleri başlattı ve çok faktörlü kimlik doğrulama kullanmaya başladı. 30 Nisan 2025'te iki kuruluş yasal olarak uyumlu bir veri işleme sözleşmesi imzaladı.

ONL sözcüsü, saldırıdan sonraki bir hafta içinde Data Cymru ile birlikte ağdaki her hesabı kontrol ettiklerini ve ihtiyaç duyulmayanları aynı gün kapattıklarını söyledi. Sözcü, olayın yalnızca Data Cymru için barındırdıkları sunucuyla sınırlı olduğunu ve ONL'nin elindeki diğer müşteri bilgilerinin etkilenmediğini belirtti.

Data Cymru, 2025'te Galler Yerel Yönetim Birliği (WLGA) ile birleşti. WLGA sözcüsü, çalınan bilgilerin daha fazla paylaşıldığına veya kötüye kullanıldığına dair bir kanıt bulunmadığını söyledi. Sözcü, olaydan sonra kullanılmayan kullanıcı hesaplarının kaldırılması, şifre ve uzaktan erişim kontrollerinin güçlendirilmesi ve veri işleme düzenlemelerinin iyileştirilmesi gibi önlemler alındığını ekledi.

ICO, bu olayın tüm kuruluşlar için bir ders olduğunu belirterek güçlü şifreler kullanılması, uzaktan erişimin çok faktörlü kimlik doğrulama ile korunması, her kullanıcı hesabının düzenli olarak gözden geçirilmesi ve hizmetler dışarıdan alındığında siber güvenlikten kimin sorumlu olduğunun netleştirilmesi çağrısında bulundu.