החשבון נקרא Test 2, הוא נפתח ב-2012 בשביל בדיקה אחת, ואף אחד לא מחק אותו אחר כך. הסיסמה היחידה שהגנה עליו הייתה Password1. בנובמבר 2024 מישהו התחבר בעזרתו לרשת של גוף נתונים שמשרת רשויות מקומיות בוויילס, ויצא משם עם פרטים אישיים של 3,300 אנשים, רובם ילדים.

מה קרה

הרגולטור הבריטי להגנת מידע, ה-ICO, פרסם ב-20 באוקטובר את מה שמצא בחקירת המקרה, וחילק נזיפה רשמית לשני גופים: חברת ה-IT ‏Ogi Networks, שמספקת שירותי מערכות מידע לאותו גוף נתונים מאז 2012, ו-Data Cymru, יחידת הנתונים של השלטון המקומי בוויילס שממומנת בידי ממשלת ויילס.

מהחשבון הנשכח התקדמו התוקפים לשרתי הקבצים ולשרת בסיס הנתונים, והצפינו שם 182.7 ג'יגהבייט, כלומר הפכו את הקבצים לבלתי קריאים ודרשו כסף על המפתח. לסוג המתקפה הזאת קוראים כופרה. לפני ההצפנה הם העבירו לעצמם 42 ג'יגהבייט, מהשרת שמנהל את כל החשבונות ברשת, משרת קבצים ומשרת בסיס הנתונים. המידע שיצא נגע לשני פרויקטים שמלווים ילדים ומשפחות בוויילס.

דיוויד דודסון, ראש אגף החקירות ב-ICO, לא ריכך את הניסוח: "Password1 היא לא סיסמה ראויה, היא דלת פתוחה לרווחה בפני גורמים זדוניים". בין הכשלים שה-ICO מצא אצל חברת ה-IT: היא לא דרשה סיסמה חזקה לחשבון הזה, לא ערכה ביקורות סדירות על החשבונות שפתחה ברשת הלקוח, ולא חזרה לבדוק חשבונות מנהל מקומיים אחרי שהוקמו. ל-Data Cymru נרשם, בין השאר, שלא היה לה חוזה עם ספק המשנה שכולל את סעיפי הגנת המידע שהחוק מחייב, ושבדיקות החשבונות שכן נעשו לא היו קבועות בלוח זמנים ולא כיסו את כל מאגר החשבונות של הרשת.

אף אחד מהשניים לא קיבל עיצום כספי. ה-ICO ציין את התיקונים שנעשו מאז: נחתם חוזה תקין באפריל 2025, נוספו ביקורות חשבונות תקופתיות, והופעל אימות דו-שלבי.

למה זה חשוב לכם

סיסמה בתבנית של אות גדולה, מילה באנגלית וספרה אחת היא בין הראשונות שכלים אוטומטיים מנסים, וחשבון שאף אחד לא נכנס אליו הוא גם חשבון שאף אחד לא יבחין שנכנסו אליו. בדיוק אותו צירוף קיים בבית שלכם: תיבת מייל ישנה שעברתם ממנה, אתר קניות שנרשמתם אליו ב-2015 ופתחתם פעם אחת, ממשק הניהול של הראוטר עם הסיסמה שהגיעה מודפסת על המדבקה. ההבדל בין המקרה הוויילסי לשלכם הוא בעיקר מה יש בפנים.

מה עושים?

עברו על החשבונות שאינם בשימוש וסגרו אותם. תיבת מייל ישנה, רשת חברתית שנטשתם, אתר שקניתם בו פעם אחת לפני עשר שנים.

אם לאחד החשבונות שלכם יש עדיין סיסמה מהסוג הזה, Password1 או Aa123456, החליפו אותה עכשיו בסיסמה ארוכה שאינה בשימוש באף מקום אחר.

הפעילו אימות דו-שלבי לפחות בתיבת המייל הראשית, כי ממנה מאפסים את הסיסמאות של כל השאר.

במקום העבודה, שאלו מי אחראי לבדוק את החשבונות שספק ה-IT פתח ברשת, ומתי נעשתה הבדיקה האחרונה.

שתים עשרה שנה חלפו בין פתיחת חשבון הבדיקה לבין הרגע שבו הוא שימש להוציא מידע על ילדים, וכל מה שעמד בדרך היה מילה אחת וספרה.