Résumé

  • L’ICO a réprimandé Ogi Networks et Data Cymru après une attaque par rançongiciel en 2024, lors de laquelle des informations concernant 3 300 personnes ont été dérobées, pour la plupart des enfants.
  • Ses conclusions relèvent des manquements de part et d’autre de la relation de sous-traitance : gestion des comptes et mots de passe chez Ogi, clauses contractuelles, suivi et audit chez Data Cymru.

L’Information Commissioner’s Office situe l’incident au 1er novembre 2024. Un compte de test nommé « Test2 », créé par Ogi Networks en janvier 2012, avait conservé le mot de passe « Password1 » pendant plus de douze ans. Selon l’ICO, il a pu rester actif ou être réactivé par inadvertance. L’avis ne précise pas comment l’accès a été rétabli.

Le compte ne résume pas les conclusions. L’ICO indique que des informations concernant 3 300 personnes ont été prises, en majorité celles d’enfants, et qu’elles se rapportaient à deux projets d’aide aux enfants et aux familles. Le régulateur fait état de 182,7 Go chiffrés et de 42 Go extraits des systèmes de Data Cymru. Chiffrement et extraction sont deux faits distincts ; l’avis ne dit pas que tous les services touchés ont été indisponibles et ne mesure pas les préjudices individuels.

Le régulateur répartit les manquements entre les partenaires. Ogi a reçu une réprimande pour violation de l’article 32 du RGPD britannique. L’ICO cite des audits de comptes insuffisants, des contrôles de mots de passe faibles et des examens incomplets des comptes d’administrateur local. Data Cymru a été réprimandée pour violation des articles 28(4) et 32. Ses accords de sous-traitance ne comportaient pas les clauses requises et ne définissaient pas clairement qui devait fournir, surveiller et auditer le service.

L’ICO ajoute que Data Cymru n’a pas veillé au retrait ou à la mise à jour du compte inactif et que les contrôles étaient irréguliers et incomplets.

Cette répartition est importante. Le prestataire peut créer les identifiants et exploiter les contrôles techniques ; le client doit néanmoins savoir quels comptes restent valides, qui les contrôle et quelle trace clôt la vérification. Si le contrat laisse floues les responsabilités de suivi ou d’audit, un ancien compte peut subsister entre deux organisations pourtant soumises à des obligations de sécurité. Les conclusions constatent des manquements des deux côtés, sans attribuer à une seule partie chaque étape de l’incident.

L’ICO dit que les deux organismes ont ensuite signalé des mesures correctives. Il a prononcé des réprimandes, et non des amendes. La procédure d’exécution est close, mais la question opérationnelle demeure : l’attribution, l’expiration et le contrôle des comptes peuvent-ils désormais être démontrés de part et d’autre ? L’avis ne fait état d’aucune interruption de service, ne nomme aucun enfant concerné et ne chiffre pas les conséquences ultérieures.

Sources : annonce de l’ICO ; dossier d’exécution visant Ogi Networks