Pays de Galles : l'ICO réprimande Ogi et Data Cymru, un compte de test « Password1 » oublié depuis 2012 a ouvert la voie au rançongiciel
Le 14 octobre 2026, l'autorité britannique de protection des données a adressé deux réprimandes à des organisations galloises : Ogi Networks Limited, prestataire de services informatiques managés, et Data Cymru, l'unité de données des collectivités locales du Pays de Galles. En cause, un rançongiciel lancé le 1er novembre 2024 via un compte de test créé en 2012 avec le mot de passe « Password1 ». Les données de 3 300 personnes, en majorité des enfants, ont été exfiltrées. Pour un DPO, l'affaire résume deux angles morts classiques : les comptes oubliés et la chaîne de sous-traitance.
Ce qui s'est passé
Depuis 2012, Ogi fournit à Data Cymru serveurs, connectivité, licences, sauvegardes et support. Data Cymru agit comme sous-traitant pour d'autres organisations, et Ogi comme son sous-traitant ultérieur. Le 13 janvier 2012, Ogi crée dans le réseau de Data Cymru un compte de test, « Test2 », avec le mot de passe « Password1 », vraisemblablement pour tester les accès avant de migrer les vrais utilisateurs.
Douze ans et demi plus tard, ce compte existe toujours, soit resté actif, soit réactivé par inadvertance. D'après l'enquête du cabinet PureCyber citée par l'ICO, il est vraisemblablement compromis par pulvérisation de mots de passe (« password spraying »), et l'accès initial semble être passé par le VPN sous ce nom d'utilisateur. Une activité liée à ce compte est relevée dès le 20 septembre 2024. Le 1er novembre, l'attaquant chiffre 182,7 Go de données après en avoir exfiltré 42 Go depuis le contrôleur de domaine principal, un serveur de fichiers et un serveur SQL. Les comptes administrateur locaux de ces trois systèmes partageaient le même mot de passe, inchangé depuis janvier 2012.
Data Cymru notifie la violation à l'autorité le 7 novembre 2024. Le lendemain, les deux organisations passent en revue l'annuaire Active Directory et désactivent les comptes à retirer, huit comptes obsolètes étant identifiés : la revue a pris « just over four hours », note l'autorité. Selon Data Cymru, aucune publication des données n'a été constatée à ce jour.
Ce que l'autorité reproche à chacun
Ogi est réprimandé pour manquement à l'article 32(1)(b) et (d) du RGPD britannique : pas de règles de mot de passe minimales conformes aux recommandations du secteur, et aucune procédure d'audit des comptes qu'il créait chez son client. L'autorité relève que le manquement a duré 6,5 ans sans être détecté.
Data Cymru est réprimandé sur les mêmes points de l'article 32, et en plus sur l'article 28(4). Son contrat avec Ogi, un bon de commande antérieur au RGPD, ne comportait pas les clauses obligatoires : il a été oublié lors de la revue des contrats menée pour préparer l'entrée en application du RGPD, Data Cymru voyant en Ogi un simple fournisseur d'infrastructure. L'avenant de protection des données n'a été mis en place que le 30 avril 2025. Pour l'autorité, cette absence a « directly contributed to the Incident » : la manière dont le service d'annuaire devait être surveillé et audité n'était pas clairement définie entre les parties.
Il n'y a pas d'amende. Les deux organisations ont accepté les constats ou ne les ont pas contestés, et ont pris des mesures correctives, dont l'authentification multifacteur pour tout accès VPN.
Pourquoi c'est important
La décision est britannique, mais les articles 28 et 32 du RGPD britannique reprennent, à quelques adaptations près, ceux du RGPD européen (article 32). Le raisonnement se transpose donc à un responsable de traitement de l'UE. Il rejoint d'ailleurs des décisions récentes : en Grèce, un ministère et son sous-traitant ont été sanctionnés faute de contrat article 28 en vigueur, et en Suède, l'IMY a sanctionné Miljödata, sous-traitant piraté.
Le point saillant tient à la répartition des rôles : Ogi ne créait ou ne supprimait des comptes que sur instruction de Data Cymru, ce qui laissait, selon l'autorité, un trou dans l'audit des comptes entre les deux organisations. Le contrat est l'endroit où ce trou se comble.
Ce que ça change pour les organisations
- Inventorier les comptes de test, de service et de prestataire, et désactiver ceux qui ne servent plus : la revue de novembre 2024 a pris un peu plus de quatre heures.
- Demander l'annuaire complet lors des revues, pas seulement le groupe des utilisateurs standards : Data Cymru reconnaît que se limiter au groupe « Domain users » était une erreur.
- Exiger l'authentification multifacteur sur tout accès distant, VPN compris.
- Bannir les mots de passe administrateur partagés entre serveurs.
- Relire les contrats antérieurs à 2018 et vérifier que chaque sous-traitant ultérieur est couvert par des clauses article 28, avec une responsabilité claire sur la revue des accès.
Ce que Leto en pense
Aucune technique avancée ici : un compte oublié, un mot de passe faible, un contrat jamais relu. Ce sont des mesures que la norme ISO/IEC 27001:2022 range dans son annexe A, revue des droits d'accès (5.18) et sécurité dans les accords avec les fournisseurs (5.20), et que l'article 32 exige déjà sous une forme générale. Leto tient déjà la partie RGPD de ce travail, registre et sous-traitants compris : voir comment en démo.
Sources
