摘要

  • ICO就2024年一次勒索软件事件处分了 Ogi Networks 和 Data Cymru；事件中，3,300 人的相关信息被取走，其中大多数是儿童。
  • ICO认定外包关系两端都存在控制缺陷：Ogi的账户和密码管理，以及Data Cymru的处理者条款、监测和审计安排。

英国信息专员办公室称，事件发生在2024年11月1日。一个名为“Test2”的测试账户由 Ogi Networks 于2012年1月创建，密码“Password1”沿用了十二年多。ICO表示，该账户可能一直处于启用状态，也可能后来被意外重新启用。公告没有确定攻击者具体如何重新获得访问权限。

事件影响不止于这个账户。ICO称，有关3,300人的信息被取走，其中大多数是儿童；信息涉及两个支持儿童及家庭的项目。公告还称，182.7 GB 数据被加密，另有42 GB从 Data Cymru 的系统中被取走。加密和数据外传是两项不同的事实；公告没有说所有受影响服务都曾中断，也没有量化个人受到的后续伤害。

监管机构把违规责任分别落在服务关系两端。Ogi因违反英国 GDPR 第32条受到谴责。ICO列出的问题包括账户审计不足、密码控制薄弱，以及本地管理员账户检查不完整。Data Cymru因违反第28(4)条和第32条受到谴责。其处理者安排缺少规定条款，也没有清晰说明由谁交付、监测和审计服务。ICO还指出，Data Cymru没有确保删除或更新已闲置的账户，账户复核既无固定安排，也不完整。

这种责任划分很关键。供应商可以创建凭证并运行技术控制，但客户仍需要知道哪些账户有效、由谁复核，以及什么记录能够证明复核闭环。如果合同没有明确监测与审计责任，旧账户就可能卡在两家机构之间，即使双方都负有安全义务。ICO的结论确认两端都有失误，却没有把事件的每个环节都归因于单一一方。

ICO称两家机构后来报告了整改措施。监管机构作出的是谴责，而非罚款。执法程序由此有了结果，但运营问题仍待检验：现在能否跨越供应商边界，说明每个账户由谁负责、何时到期、如何复核？公告没有报告服务中断，没有披露受影响儿童的身份，也没有量化后续损失。

来源：ICO公告；Ogi Networks执法记录