一个名为“Test2”的测试账户因使用密码“Password1”，导致威尔士地方政府数据单位（Data Cymru）遭受勒索软件攻击。此次入侵致使约 3,300 人的个人数据泄露，其中多数为儿童。英国信息委员会办公室（ICO）随后对负责基础设施的 Ogi 网络有限公司（ONL）及 Data Cymru 发出谴责。
据 ICO 披露，ONL 为 Data Cymru 提供服务器、连接基础设施以及许可支持，旨在协助威尔士公共机构高效利用数据。2024 年 11 月 1 日，一名恶意行为者利用该测试账户渗透网络，加密了存储在文件服务器和内部数据库中的 182.7GB 数据。在部署勒索软件前，攻击者还从主域控制器、文件服务器和 SQL 服务器中提取了 42GB 的数据。
调查指出，“Test2”账户由 ONL 于 2012 年 1 月 13 日创建，初衷可能是为了测试用户访问权限，以便将真实用户迁移至服务中。该账户自创建起便使用了密码“Password1”。ICO 引用 Bitwarden 的密码强度工具分析称，该密码被评为“非常弱”，预计破解时间不到一秒。
更严重的安全隐患在于，所有受影响系统的本地管理员账户均使用相同密码。这意味着一旦某个系统被攻破，威胁行为者即可收集并利用本地账户哈希值，验证并访问 Data Cymru 网络上的其他系统。监管机构补充说明，ONL 证实自初始部署后，从未对当地管理员账户进行审查。因此，这些账户在超过 12.5 年的时间里始终保持活跃状态，且沿用了 2012 年 1 月作为 ONL 与 Data Cymru 初始项目一部分时设置的默认密码。
基于英国 GDPR 第 32 条，ICO 谴责 ONL 未能实施“适当的技术和组织措施”以确保处理系统和服务的安全性，也未定期评估这些措施的有效性。调查发现，ONL 缺乏针对 Data Cymru Active Directory 中用户账户的审计程序。
ICO 对 Data Cymru 的单独谴责同样指出了其安全安排的缺陷。ICO 调查负责人 David Doodson 表示：“‘Password1’不是一个合适的密码，它为邪恶行为者敞开了大门。”这一事件凸显了一个不再需要的账户及其单个弱密码所带来的风险。
责任并非仅归于单一组织。虽然 ONL 创建了测试账户，但 Data Cymru 保留了对其网络的整体控制权，包括指示 ONL 创建或删除账户的能力。两者均未采取足够明确和有效的措施，以确保持续识别并删除闲置的老账户。
