Het gebruik van het wachtwoord 'Password1' heeft in Wales tot een datalek met de gegevens van ruim drieduizend mensen geleid, voornamelijk kinderen. De twee verantwoordelijke bedrijven hebben van de Britse privacytoezichthouder ICO een berisping gekregen. Eind 2024 vond er een ransomware-aanval plaats op het bedrijf Data Cymru, dat overheden helpt met het verzamelen en gebruiken van data voor allerlei doeleinden. Bij de aanval wisten aanvallers via een password spraying-aanval een testaccount op een server van het bedrijf te compromitteren.

Dit 'Test2' account was twaalf jaar eerder aangemaakt en op het moment van de aanval actief. Verder bleek dat het Test2-account was beveiligd met het wachtwoord 'Password1'. Data Cymru had wel een wachtwoordbeleid ingevoerd dat wachtwoorden van minimaal 15 karakters vereiste. Het Test2-account was echter al voor de invoering van dit beleid aangemaakt. Doordat het account niet werd gebruikt en er ook niet mee werd ingelogd op het organisatiedomein, werd het wachtwoordbeleid niet van toepassing op dit account.

Bij de aanval wisten de aanvallers de primaire domeincontroller, een fileserver en een SQL-server te compromitteren. In totaal versleutelden de aanvallers 182 gigabyte aan data en maakten 42 gigabyte aan data buit. Het ging onder andere om de gegevens van 3300 mensen, voornamelijk kinderen. Verder bleek dat drie lokale admin-accounts meer dan twaalf jaar hetzelfde wachtwoord gebruikten. Volgens de ICO schoot de beveiliging van het netwerk ernstig tekort.

"Password1 is geen goed wachtwoord", aldus David Doodson van de ICO. Naast Data Cymru kreeg ook de it-dienstverlener van het bedrijf een berisping van de privacytoezichthouder. Het was de it-dienstverlener die het Test2-account met het Password1-wachtwoord had aangemaakt en aangemaakte accounts en wachtwoorden niet periodiek controleerde. Volgens de ICO laat het incident zien dat organisaties het gebruik van zwakke wachtwoorden moeten verbieden, niet gebruikte accounts moeten verwijderen, niet voor admin-accounts dezelfde wachtwoorden moeten gebruiken en waar mogelijk multifactorauthenticatie (MFA) moeten instellen.