Resumen

  • La ICO reprendió a Ogi Networks y Data Cymru por un ataque de ransomware de 2024 en el que se sustrajo información de 3.300 personas, en su mayoría menores.
  • La resolución identifica fallos a ambos lados de la relación de proveedor y cliente: cuentas y contraseñas en Ogi; condiciones del encargado, supervisión y auditoría en Data Cymru.

La Information Commissioner’s Office sitúa el incidente el 1 de noviembre de 2024. Ogi Networks había creado la cuenta “Test2” en enero de 2012. La contraseña “Password1” siguió asociada a ella durante más de doce años. Según la ICO, la cuenta pudo seguir activa o reactivarse por error. El aviso no precisa cómo se recuperó el acceso.

La ICO dice que se sustrajo información de 3.300 personas, la mayoría menores. Los datos correspondían a dos proyectos de apoyo a niños y familias. También informa de 182,7 GB cifrados y 42 GB extraídos de sistemas de Data Cymru. No son la misma medida. El aviso no afirma que todos los servicios quedaran interrumpidos ni calcula daños individuales.

Ogi recibió una reprimenda por incumplir el artículo 32 del RGPD británico. La ICO identificó tres problemas: las cuentas no se auditaban lo suficiente, el control de contraseñas era débil y faltaban revisiones de cuentas de administrador local.

Data Cymru fue reprendida por incumplir los artículos 28(4) y 32. Sus acuerdos de encargado no incluían las cláusulas exigidas. Tampoco dejaban claro quién debía prestar, supervisar y auditar el servicio. La ICO añade que Data Cymru no garantizó que la cuenta inactiva se eliminara o actualizara. Las revisiones de cuentas eran irregulares e incompletas.

La diferencia entre ambas funciones importa. El proveedor puede crear credenciales y gestionar controles técnicos. El cliente necesita saber qué cuentas siguen vigentes, quién las revisa y dónde queda constancia. Sin una responsabilidad clara de supervisión y auditoría, una cuenta antigua puede quedar entre las dos organizaciones. La ICO encontró fallos en ambas; no atribuyó cada paso del incidente a una sola parte.

Las dos entidades comunicaron medidas correctivas posteriores, según la ICO. El regulador las reprendió, pero no impuso multas. La cuestión operativa ahora es si ambas pueden demostrar quién responde por cada cuenta, cuándo vence y cómo se revisa. El aviso no informa de cortes del servicio, no identifica a los menores afectados y no cuantifica consecuencias posteriores.

Fuentes: comunicado de la ICO; expediente de Ogi Networks