Resumo

  • A ICO repreendeu a Ogi Networks e a Data Cymru por um ataque de ransomware em 2024, no qual foram levadas informações de 3.300 pessoas, a maioria crianças.
  • A decisão aponta falhas nos dois lados da prestação de serviço: contas e senhas na Ogi; cláusulas de processamento, monitoramento e auditoria na Data Cymru.

A Information Commissioner’s Office informa que o incidente ocorreu em 1º de novembro de 2024. Uma conta de teste chamada “Test2”, criada pela Ogi Networks em janeiro de 2012, manteve a senha “Password1” por mais de doze anos. Segundo a ICO, ela pode ter continuado ativa ou sido reativada por engano. O comunicado não determina como o acesso foi retomado.

A constatação vai além dessa credencial. A ICO afirma que foram levadas informações de 3.300 pessoas, em sua maioria crianças, relacionadas a dois projetos de apoio a crianças e famílias. O órgão relata que 182,7 GB foram criptografados e 42 GB foram retirados de sistemas da Data Cymru. Criptografia e extração são fatos distintos; o comunicado não diz que todos os serviços afetados ficaram indisponíveis nem calcula danos individuais.

O regulador distribuiu as falhas entre os integrantes da relação de serviço. A Ogi foi repreendida por violar o artigo 32 do GDPR do Reino Unido. A ICO cita auditorias de contas insuficientes, controles fracos de senha e revisões incompletas de contas de administrador local. A Data Cymru recebeu repreensão por violações dos artigos 28(4) e 32. Seus acordos de processamento não continham os termos exigidos e não definiam com clareza quem prestaria, monitoraria e auditariam o serviço. A ICO também diz que a Data Cymru não garantiu que a conta inativa fosse removida ou atualizada e que as revisões eram irregulares e incompletas.

Essa divisão de responsabilidade importa. O prestador pode criar credenciais e operar controles técnicos, mas o cliente ainda precisa saber quais contas continuam válidas, quem as revisa e qual registro comprova o encerramento da revisão. Se o contrato não define quem monitora e audita, uma credencial antiga pode ficar entre duas organizações, mesmo que ambas tenham deveres de segurança. A ICO identificou falhas nos dois lados; não atribuiu cada etapa do incidente a uma única parte.

A ICO diz que as duas organizações relataram medidas corretivas posteriormente. A resposta foi uma repreensão, sem multa financeira. A etapa regulatória teve um desfecho, mas resta uma questão operacional: hoje é possível demonstrar, entre cliente e prestador, quem responde por cada conta, quando ela expira e como é revisada? O comunicado não relata interrupção de serviço, não identifica crianças afetadas e não quantifica consequências posteriores.

Fontes: comunicado da ICO; registro de execução da Ogi Networks