'Password1' em conta de teste expôs dados de crianças

Este caso não é de cibercrime com alegação. É um caso de controle que falhou, documentado por regulador. A fonte primária é o ICO, que em 20/10/2026 publicou comunicado e as duas reprimendas (as páginas de enforcement trazem a data de 14/10/2026). O que sabemos veio de apuração da autoridade, com as respostas das duas organizações, não de leak site. Por isso o selo 'claimed' do nosso registro não se sustenta: a vítima e o regulador confirmam.

O que o ICO afirma: ataque de ransomware em 01/11/2024 contra a Data Cymru, unidade de dados do governo local galês; 182,7 GB cifrados em um servidor de arquivos e em um servidor de banco de dados interno; 42 GB exfiltrados de um controlador de domínio primário, de um servidor de arquivos e de um SQL. Os dados pessoais são de 3.300 pessoas, a maioria crianças, de dois projetos de apoio a crianças e famílias. O ICO não detalha categorias de dados nas fontes que consegui abrir, e por isso o campo de tipos de dado é genérico.

A Ogi Networks informou ao ICO que criou 'Test2' em 13/01/2012, provavelmente para testar acesso de usuário antes de migrar usuários reais, e atribuiu a ela 'Password1'. O ICO cita uma ferramenta de terceiros que classificou a senha como 'muito fraca', quebrável em menos de um segundo. Houve também senhas de administrador local idênticas nos três sistemas afetados, nunca revisadas após a implantação. O ICO enquadrou a ONL nos Arts. 32(1)(b) e 32(1)(d) do UK GDPR. A Data Cymru recebeu Arts. 28(4), 32(1)(b) e 32(1)(d): não tinha contrato de tratamento com cláusulas legais com a ONL, não identificou nem removeu a conta dormente e revisava o Active Directory de forma não rotineira e incompleta.

Há divergências na cobertura. Um texto do AOL traz a senha como 'Passwrod1' e fala em quebra 'em menos de um minuto'. O ICO diz 'Password1' e 'menos de um segundo'. Uma versão da PA (Yahoo UK) diz que a conta foi criada em novembro de 2024, mas o ICO diz janeiro de 2012; novembro de 2024 é a data do ataque. Usei só os números do ICO. Além disso, o ICO diz que a conta pode ter ficado ativa desde a criação ou ter sido reativada antes do ataque. Isso importa: a manchete 'Password1 por 12 anos' é mais forte do que o que o regulador prova para a conta de teste.

Não há ator, nem alegação de número de registros. Por isso 'claimed_records' fica nulo e a distância ator-vítima não existe aqui. Não encontrei nome de grupo, nota de resgate ou publicação em site de extorsão. Não se pode concluir que os dados não circularam. Só que as fontes abertas não os atribuem a ninguém. Também não está claro como o atacante chegou à rede a partir da internet (qual serviço exposto), e o ICO ligou o acesso inicial à conta de teste, não a um serviço específico. O ICO diz que ambos adotaram revisões de contas e autenticação multifator depois do incidente, o que sugere, sem provar, que a ausência de MFA contou no caso.

O que o caso estabelece: o ICO respondeu à terceirização mal contratada com sanções às duas partes, controlador e fornecedor. O ICO também escolheu reprimenda em vez de multa, mesmo com dados de crianças. Os motivos da escolha não estão nas fontes que li, então não vou inferi-los. A mensagem ao mercado é operacional: contas de teste, senhas padrão e administradores locais compartilhados são achados regulatórios, e quem terceiriza AD precisa ter definido por escrito quem revisa o quê.

3.300 pessoas, em sua maioria crianças, tiveram dados pessoais exfiltrados de dois projetos de apoio a crianças e famílias geridos pela Data Cymru. Houve indisponibilidade temporária de operações pela criptografia de 182,7 GB (comunicado da Data Cymru). Sanção: duas reprimendas do ICO, sem multa. Danos individuais concretos, como uso indevido ou publicação dos dados, não foram divulgados.