Le 20 octobre 2026, l’Information Commissioner’s Office (ICO) a annoncé des réprimandes à l’encontre d’Ogi Networks Limited et de Data Cymru après une attaque par rançongiciel survenue le 1er novembre 2024. L’enquête relie l’intrusion à un ancien compte de test protégé par « Password1 », resté actif ou réactivé par erreur pendant plus de douze ans.
Les données personnelles de 3 300 personnes ont été prises, en majorité celles d’enfants. L’affaire ne se limite pas à un mot de passe faible : l’ICO décrit aussi des audits incomplets et une répartition insuffisamment claire des responsabilités entre l’organisme public et son prestataire informatique.
Ce que l’ICO a établi
L’attaque a eu lieu le 1er novembre 2024. Selon l’ICO, le rançongiciel a chiffré 182,7 Go de données et 42 Go ont été dérobés depuis les systèmes de Data Cymru. Les informations concernaient deux projets de soutien aux enfants et aux familles. L’autorité a publié ses réprimandes le 20 octobre 2026, après avoir examiné la sécurité des traitements réalisés par les deux organisations.
La couverture de la BBC publiée en mars 2025 rapportait déjà que des données d’enfants suivis par Cardiff avaient été compromises dans une fuite touchant Data Cymru. Le rapport du conseil d’Anglesey revient lui aussi sur les conséquences de l’incident pour les services sociaux au pays de Galles. Les précisions publiées aujourd’hui par l’ICO apportent les conclusions réglementaires et le périmètre global de 3 300 personnes.
Un compte de test a survécu pendant douze ans
Le compte « Test2 » avait été créé en janvier 2012 avec le mot de passe « Password1 ». L’ICO n’a pas pu déterminer s’il était resté actif depuis sa création ou s’il avait été réactivé par inadvertance avant l’attaque. Un outil tiers d’évaluation des mots de passe le classait comme très faible et estimait qu’il pouvait être compromis en moins d’une seconde.
Le problème dépassait ce compte : sur trois systèmes touchés, les mots de passe de comptes administrateur locaux n’avaient pas changé depuis plus de douze ans. Ogi Networks n’a pas régulièrement audité les comptes qu’elle avait créés sur le réseau de Data Cymru. De son côté, Data Cymru effectuait des revues irrégulières qui ne couvraient pas l’ensemble de son Active Directory.
Les données concernaient des enfants et des familles
L’ICO indique que les informations personnelles de 3 300 personnes ont été prises, et que la majorité de ces personnes étaient des enfants. Les données se rapportaient à deux projets d’aide aux enfants et aux familles. La décision publique ne donne pas une liste complète des catégories d’informations dérobées pour chaque personne ; il serait donc imprudent d’affirmer que toutes les données étaient des dossiers sociaux détaillés ou qu’elles ont été publiées en ligne.
La BBC avait précédemment rapporté un risque concernant des informations de jeunes pris en charge par le conseil de Cardiff. Ce contexte montre la sensibilité des services concernés, mais ne permet pas d’étendre les catégories de données annoncées par la BBC à l’ensemble des 3 300 personnes mentionnées par l’ICO.
Client et prestataire partageaient la responsabilité
Ogi Networks avait créé le compte de test. Data Cymru gardait toutefois le contrôle général de son réseau et pouvait demander à Ogi de créer ou supprimer des comptes. L’ICO a relevé que les deux organisations n’avaient pas défini de mécanismes suffisamment clairs et efficaces pour repérer et supprimer les anciens comptes.
L’autorité a aussi relevé l’absence, au moment concerné, d’un contrat comportant les clauses requises pour le traitement des données par le sous-traitant, ainsi qu’un manque de clarté sur le suivi et l’audit du service Active Directory. Les deux organisations ont depuis signé un contrat de traitement des données, instauré des revues périodiques de comptes et renforcé les contrôles d’accès, notamment avec l’authentification multifacteur.
Les contrôles à mettre en place
Pour les organisations, la leçon porte sur le cycle de vie complet des accès. Il faut inventorier les comptes ordinaires, de test, de service et d’administration, vérifier leur propriétaire et leur dernière utilisation, puis désactiver ceux qui n’ont plus de raison d’exister. Les comptes privilégiés méritent des secrets uniques, une rotation après incident et une authentification multifacteur pour les accès distants.
Quand un prestataire administre des comptes dans votre environnement, le contrat doit préciser qui les crée, qui les vérifie, qui les supprime et comment ces actions sont contrôlées. Une revue utile doit couvrir l’annuaire complet, les comptes locaux et les droits élevés, pas seulement les comptes visibles par un échantillon de vérification. Après l’incident, Data Cymru et Ogi ont déclaré avoir ajouté des revues périodiques et renforcé l’authentification.
Le lien avec Soclyde
Soclyde aide les équipes à générer et conserver des mots de passe uniques dans un coffre chiffré local-first. Cela peut réduire le risque qu’un secret faible ou réutilisé donne accès à plusieurs services. Le coffre ne repère pas les comptes dormants dans Active Directory, ne désactive pas un compte chez un prestataire et ne remplace ni l’authentification multifacteur ni les audits d’accès.
Pour organiser la gestion des secrets d’équipe, consultez le guide d’audit d’un gestionnaire de mots de passe. La vérification et la suppression des comptes restent à effectuer dans chaque service et chaque annuaire concerné.
À retenir
L’attaque de Data Cymru a exposé les données de 3 300 personnes, en majorité des enfants, après qu’un compte de test ancien protégé par un mot de passe très faible est resté actif ou a été réactivé. L’ICO a réprimandé à la fois Data Cymru et Ogi Networks, en soulignant que le contrôle des comptes et la responsabilité du prestataire doivent être suivis ensemble.
Recensez les comptes créés par vos équipes et vos prestataires, supprimez ceux qui ne sont plus nécessaires et consignez les responsabilités de revue dans les procédures et les contrats. Pour vérifier les pratiques autour des secrets partagés, commencez par l’audit d’un gestionnaire de mots de passe ou contactez Soclyde.
