Podczas ataku ransomware na walijską jednostkę Data Cymru, napastnicy uzyskali dostęp do sieci poprzez stare konto testowe o nazwie „Test 2”. Konto to istniało od ponad 12 lat i było zabezpieczone skrajnie słabym hasłem „Password1”. To posłużyło jako punkt wejścia do dalszej infiltracji infrastruktury.
Cyberprzestępcy zdołali wykraść 42 GB danych oraz zaszyfrować ponad 182 GB informacji znajdujących się na serwerach plików i bazie SQL. Wyciek objął dane osobowe około 3300 osób, w tym przede wszystkim dzieci i ich rodzin, w ramach projektów wspierających walijskie rodziny.
Brytyjski urząd ochrony danych (ICO) wyciągnął konsekwencje wobec Data Cymru oraz dostawcy usług IT, firmy Ogi Networks Limited. Organizacje te naruszyły przepisy RODO (UK GDPR) poprzez brak odpowiednich wymagań dotyczących złożoności haseł oraz brak regularnych audytów kont w Active Directory.
Choć nałożono na podmioty oficjalne upomnienia, nie przewidziano kar finansowych ze względu na podjęte działania naprawcze. Firma ONL wzmocniła kontrolę dostępu, a Data Cymru uregulowało kwestie prawne w kontraktach z podwykonawcami.
