Une cyberattaque, facilitée par un compte de test actif depuis plus de 12 ans et protégé par le mot de passe "Password1", a conduit l'autorité britannique à prononcer une réprimande à l'encontre du client et de son prestataire informatique pour leurs défaillances partagées en matière de sécurité et d'encadrement contractuel.

Faits et contexte

L'autorité britannique de protection des données, le Bureau du commissaire à l'information (ICO), a aujourd'hui publié une décision de réprimande à l'encontre de Ogi Networks Limited (ONL) et de l'Unité de données des gouvernements locaux – Pays de Galles (Data Cymru) pour des manquements liés à la sécurité des données ayant permis une cyberattaque.

L'affaire fait suite à une attaque par rançongiciel survenue le 1er novembre 2024, qui a compromis les données personnelles de 3 300 personnes, majoritairement des enfants, et entraîné le chiffrement de 182,7 Go de données.

Motifs de la décision

L'enquête a révélé que l'attaque a exploité un compte de test, nommé "Test2", créé en janvier 2012 avec le mot de passe "Password1", qualifié de "très faible". Ce compte était resté actif et vulnérable pendant plus de 12 ans. L'autorité a estimé que la responsabilité de cette faille de sécurité était partagée entre les deux entités.

Pour Ogi Networks Limited (ONL), en tant que sous-traitant :

• Obligation de garantir la sécurité du traitement (article 32 du RGPD) : L'autorité a jugé qu'ONL n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées. En créant un compte avec un mot de passe manifestement insuffisant et en ne réalisant pas d'audits réguliers des comptes sur le réseau de son client, ONL a permis à une vulnérabilité critique de persister pendant des années, manquant ainsi à son obligation de garantir la confidentialité et l'intégrité des systèmes et de tester régulièrement l'efficacité de ses mesures.

Pour Data Cymru, en tant que responsable du traitement :

• Obligation d'encadrer la sous-traitance (article 28 du RGPD) : Data Cymru n'avait pas mis en place de contrat avec ONL contenant les clauses de protection des données requises par le RGPD. De plus, les modalités de fourniture, de surveillance et d'audit des services de gestion de l'annuaire actif n'étaient pas clairement documentées, créant une lacune dans la répartition des responsabilités entre les deux organisations.

• Obligation de garantir la sécurité du traitement (article 32 du RGPD) : L'autorité a reproché à Data Cymru de ne pas avoir veillé à ce que le compte de test dormant soit identifié et supprimé ou mis en conformité avec les exigences de complexité des mots de passe. Les revues de comptes menées par Data Cymru étaient non planifiées, incohérentes et ne couvraient pas l'intégralité de l'annuaire actif, ce qui constitue un manquement à l'obligation de tester et d'évaluer régulièrement l'efficacité des mesures de sécurité.

Décision de l'autorité

En conséquence, l'autorité a prononcé une réprimande à l'encontre de Ogi Networks Limited et de Data Cymru.

Enseignements

Cette décision rappelle que :

• La gestion du cycle de vie des comptes utilisateurs, y compris la suppression systématique des comptes de test, des comptes dormants ou des comptes d'anciens utilisateurs, est une mesure de sécurité fondamentale.

• La responsabilité de la sécurité doit être clairement définie et répartie contractuellement entre le responsable du traitement et ses sous-traitants, notamment en ce qui concerne la supervision et l'audit des mesures mises en œuvre.

• L'implémentation de politiques de mots de passe robustes interdisant les combinaisons faibles et l'activation de l'authentification multifacteur pour les accès à distance sont des exigences de base pour garantir la sécurité des systèmes.