Por Canuto  

Una cuenta de prueba creada en 2012 y protegida con “Password1” fue una de las vías de entrada para un ataque que expuso información personal de 3.300 personas, en su mayoría menores. La ICO del Reino Unido apercibió a Ogi Networks y Data Cymru por deficiencias de seguridad, sin imponerles multas.
***

  • El ataque ocurrió el 1 de noviembre de 2024 y permitió extraer 42 GB de datos antes de que el ransomware cifrara 182,7 GB.
  • La cuenta Test2 llevaba más de 12 años activa; además, tres sistemas afectados compartían la misma contraseña de administrador local.
  • La ICO responsabilizó a ambas organizaciones por fallos distintos y señaló la falta de procedimientos claros para revisar y eliminar cuentas antiguas.

Una cuenta de prueba que seguía activa

Una cuenta de prueba creada para preparar servicios informáticos terminó convertida en una puerta de entrada a la red de Data Cymru. El ataque de ransomware, ocurrido el 1 de noviembre de 2024, comprometió información personal de 3.300 personas, en su mayoría menores, y llevó a la Oficina del Comisionado de Información del Reino Unido (ICO) a apercibir a Ogi Networks Limited y a Data Cymru.

La cuenta implicada se llamaba Test2 y estaba protegida con la contraseña “Password1”, asignada cuando Ogi Networks la creó el 13 de enero de 2012. Según la ICO, la cuenta probablemente servía para probar el acceso de usuarios antes de migrar a las personas que usarían los servicios de forma efectiva, pero permaneció activa mucho después de que cumpliera esa función inicial.

La antigüedad de la cuenta resulta central en el caso: pasó más de 12 años sin que Ogi Networks revisara las cuentas de administrador local asociadas a los sistemas afectados. El regulador también indicó que esas cuentas conservaron contraseñas predeterminadas establecidas durante el proyecto inicial, sin una revisión posterior que determinara si aún hacían falta.

La herramienta de evaluación de contraseñas de Bitwarden calificó “Password1” como “muy débil” y calculó que podía descifrarse en menos de un segundo. Esa valoración ilustra por qué una credencial sencilla y sin actualización puede convertir una cuenta olvidada en un riesgo concreto, sobre todo si sigue habilitada dentro de una red con acceso a otros sistemas.

El alcance del ataque y las fallas señaladas

Una vez dentro de la red, el intruso extrajo 42 GB de información antes de desplegar el ransomware. La ICO informó que los datos salieron de un controlador de dominio principal, un servidor de archivos y un servidor SQL; después, el atacante cifró 182,7 GB alojados en un servidor de archivos y en un servidor interno de bases de datos.

La magnitud de los archivos cifrados y la cantidad de información extraída describen dos efectos diferentes del incidente. El ransomware bloqueó datos alojados en los servidores, mientras que la exfiltración dejó información fuera de la infraestructura de Data Cymru; la notificación no detalla qué categorías de datos personales contenía el material afectado.

La reutilización de contraseñas amplió el alcance potencial de la intrusión dentro de la red. Según la ICO, las cuentas de administrador local de los tres sistemas afectados compartían la misma clave, por lo que, después de comprometer un equipo, el atacante pudo obtener hashes de esas cuentas y utilizarlos para autenticarse en otros sistemas de Data Cymru.

El incidente también puso de relieve una brecha de gestión, además de la debilidad de la contraseña. La ICO concluyó que Ogi Networks no tenía procedimientos para auditar las cuentas de usuario del Active Directory de Data Cymru, una carencia que dificultó detectar cuentas antiguas y decidir si debían seguir habilitadas o eliminarse.

Responsabilidad compartida y respuesta regulatoria

Ogi Networks prestaba a Data Cymru infraestructura de servidores, conectividad, licencias y soporte, según la información de la ICO. Data Cymru, conocida también como Local Government Data Unit – Wales, ayuda a organismos públicos galeses a utilizar los datos de forma eficaz; en este caso, ambas organizaciones tenían responsabilidades vinculadas con la seguridad de los sistemas.

Ogi Networks fue apercibida bajo el artículo 32 del Reglamento General de Protección de Datos del Reino Unido. El regulador consideró que la empresa no aplicó medidas técnicas y organizativas apropiadas para proteger los sistemas y servicios de tratamiento, ni evaluó periódicamente si esas medidas seguían siendo adecuadas. La ICO registró el apercibimiento el 14 de octubre de 2026 en su página de medidas de cumplimiento.

La notificación dirigida a Data Cymru también documentó deficiencias en sus disposiciones de seguridad. El regulador indicó que la entidad mantenía el control general de su red y podía instruir a Ogi Networks para crear o eliminar cuentas, de modo que la responsabilidad por las fallas no recaía únicamente en el proveedor que había creado Test2.

David Doodson, jefe de investigaciones de la ICO, afirmó que “Password1 no es una contraseña apropiada” y la describió como una puerta abierta para actores maliciosos. Añadió que el caso muestra cómo una contraseña débil asociada a una cuenta que ya no se necesitaba puede facilitar un ciberataque grave y afectar a miles de personas.

En lugar de multas, la ICO emitió apercibimientos para las dos organizaciones y subrayó que ninguna había establecido medidas suficientemente claras y eficaces para identificar y eliminar cuentas antiguas con regularidad. El caso deja una advertencia concreta para entidades y proveedores que comparten responsabilidades tecnológicas: las cuentas de prueba también requieren controles, revisiones y decisiones explícitas sobre su ciclo de vida.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados