'Dyw 'Password1' ddim yn gyfrinair priodol': Ceryddu dau sefydliad Cymreig ar ôl i seiberymosodiad ddatgelu gwybodaeth plant

Mae Swyddfa'r Comisiwn Gwybodaeth (ICO) wedi rhoi cerydd i Ogi Networks Limited (ONL) ac Uned Ddata Llywodraeth Leol - Cymru, sy'n cael ei hadnabod fel Data Cymru, yn dilyn ymosodiad â meddalwedd wystlo. Yn ystod yr ymosodiad cymerwyd gwybodaeth bersonol 3,300 o bobl, y mwyafrif yn blant.

Llwyddodd yr ymosodiad i fanteisio ar gyfrif prawf, o'r enw 'Test2', a oedd mewn bodolaeth ers mwy na 12 mlynedd ac a oedd naill ai'n dal yn weithredol ers iddo gael ei greu neu wedi'i ailactifadu yn anfwriadol cyn y digwyddiad. Canfuwyd bod y cyfrif 'Test2' wedi'i warchod drwy gydol y cyfnod yma â'r cyfrinair 'Password1', sydd, ar ôl cael ei wirio drwy gyfrwng offeryn cryfder cyfrineiriau trydydd parti, wedi'i ddosbarthu fel un 'gwan iawn' y gellid ei gyfaddawdu mewn llai nag eiliad.

Digwyddodd yr ymosodiad meddalwedd wystlo ar 1 Tachwedd 2024 ac amgryptiodd 182.7GB o ddata, gyda 42GB o ddata wedi'i gymryd o systemau Data Cymru. Roedd yr wybodaeth a gafodd ei chyfaddawdu yn ymwneud â dau brosiect sy'n cefnogi plant a theuluoedd.

Dywedodd David Doodson, Pennaeth Ymchwiliadau Swyddfa'r Comisiwn Gwybodaeth:

"Dyw Password1 ddim yn gyfrinair priodol, mae'n ddrws llydan agored i weithredwyr niweidiol.

Mae'r digwyddiad yma yn dangos sut y gall un cyfrinair gwan, ynghlwm wrth gyfrif nad oedd ei angen mwyach, adael y drws yn agored i seiber-ymosodiad difrifol a all effeithio ar filoedd.

"Nid un sefydliad yn unig oedd yn gyfrifol am y methiannau yma. ONL greoedd y cyfrif prawf tra bo Data Cymru'n cadw rheolaeth gyffredinol dros ei rwydwaith, gan gynnwys y gallu i gyfarwyddo ONL i greu neu ddileu cyfrifon. Roedd y naill a'r llall heb roi mesurau digon clir ac effeithiol ar waith i sicrhau bod hen gyfrifon yn cael eu hadnabod a'u dileu yn rheolaidd.

"Mae'r wers i bob sefydliad yn syml: defnyddiwch gyfrineiriau cryf, amddiffynnwch fynediad o bell gyda dilysiad aml-ffactor, adolygwch bob cyfrif defnyddiwr yn rheolaidd, a byddwch yn gwbl glir pwy sy'n gyfrifol am seiberddiogelwch pan fydd gwasanaethau'n cael eu rhoi ar gontract allanol. Nid peth dewisol yw rheolaethau seiberddiogelwch sylfaenol, a gall y canlyniadau negyddol drwy fod hebddyn nhw fod yn ddifrifol."

Manylion y tramgwyddau

ONL

Canfu'r ICO fod ONL wedi torri Erthyglau 32(1)(b) a 32(1)(d) o GDPR y Deyrnas Unedig trwy fethu â rhoi mesurau priodol ar waith i gynnal cyfrinachedd ac uniondeb ei systemau prosesu a thrwy fethu â phrofi a gwerthuso'n rheolaidd a oedd ei fesurau diogelwch yn effeithiol.

Yn benodol:

• creodd ONL y cyfrif 'Test2' ym mis Ionawr 2012 gyda'r cyfrinair 'Password1' a hynny heb ddilyn y gofynion ynghylch cryfder a chymhlethdod priodol cyfrineiriau;
• methodd ONL â chynnal archwiliadau rheolaidd o gyfrifon yr oedd wedi'u creu o fewn rhwydwaith Data Cymru, gan ganiatáu i'r cyfrif prawf gweithredol ddiangen aros mewn bodolaeth am fwy na 12 mlynedd, gan gynnwys dros chwe blynedd ar ôl i rwymedigaethau ONL o dan y GDPR ddod i rym;
• wnaeth ONL ddim adolygu cyfrifon gweinyddwyr lleol ar ôl eu rhoi ar waith i ddechrau, gyda chyfrifon ar dair system yr effeithiwyd arnynt yn cadw'r un cyfrinair am fwy na 12 mlynedd.

Data Cymru

Canfu'r ICO fod Data Cymru wedi torri Erthyglau 28(4), 32(1)(b) a 32(1)(d) o GDPR y Deyrnas Unedig.

Yn benodol:

• doedd gan Data Cymru ddim contract ar waith gydag ONL yn cynnwys y telerau diogelu data sy'n ofynnol yn y gyfraith wrth benodi is-brosesydd;
• wnaeth data Cymru ddim cofnodi'n glir sut y byddai'r gwasanaethau Active Directory a ddarperid gan ONL yn cael eu darparu, eu monitro neu eu harchwilio, gan greu bwlch yn y dyraniad cyfrifoldebau rhwng y ddau sefydliad;
• methodd Data Cymru â sicrhau bod y cyfrif 'Test2' segur wedi'i adnabod ac wedi'i dynnu neu wedi'i ddiweddaru i gydymffurfio â gofynion uwch ynghylch cyfrineiriau a gyflwynwyd yn nes ymlaen; a
• chynhaliodd Data Cymru adolygiadau o gyfrifon oedd heb eu hamserlennu, heb fod yn gyson a heb ymdrin â chynnwys llawn Active Directory.

Parhaodd y tramgwyddau gan y ddau sefydliad heb gael eu hadnabod a'u datrys.

Y camau adfer a gymerwyd

Yn dilyn y digwyddiad, cyflwynodd ONL broses sy'n procio cwsmeriaid i adolygu cyfrifon gweithredol o dro i dro ac sy'n darparu argymhellion am gyfrifon y dylid eu dileu. Cryfhaodd hefyd ei reolaethau ar fynediad i gyfrifon, gan gynnwys defnyddio dilysiad aml-ffactor.

Ar 30 Ebrill 2025, ymrwymodd Data Cymru ac ONL i gontract prosesu data sy'n cydymffurfio â'r gyfraith. Hefyd, cyflwynodd Data Cymru adolygiadau cyfnodol o gyfrifon a chryfhaodd y rheolaethau ar fynediad i gyfrifon, gan gynnwys drwy weithredu dilysiad aml-ffactor.

Gwersi i sefydliadau

Mae'r digwyddiad yma yn amlygu pwysigrwydd dulliau sylfaenol o reoli cyfrifon a goruchwyliaeth glir dros wasanaethau sy'n cael eu darparu'n allanol.

Dylai sefydliadau:

• Dileu cyfrifon nad oes eu hangen mwyach: dylai cyfrifon prawf, cyfrifon segur a chyfrifon cyn-ddefnyddwyr gael eu hadnabod a'u dadactifadu'n rheolaidd.
• Blocio cyfrineiriau gwan a chyfrineiriau a ddefnyddir yn gyffredin: dylai rheolaethau cyfrineiriau atal manylion sy'n hawdd eu dyfalu fel 'Password1' rhag cael eu defnyddio.
• Diogelu mynediad o bell: dylid defnyddio dilysiad aml-ffactor ar wasanaethau mynediad o bell yn ddiofyn.
• Archwilio'r amgylchedd cyfrifon cyfan: dylai adolygiadau gynnwys pob cyfrif, pob caniatâd a phob grŵp diogelwch perthnasol, nid is-set gyfyngedig yn unig.
• Osgoi manylion gweinyddol a rennir: dylai cyfrifon breintiedig ddefnyddio manylion unigryw fel nad yw un system sydd wedi'i chyfaddawdu yn darparu mynediad i systemau eraill.
• Diffinio cyfrifoldebau mewn contractau: dylai cytundebau gyda darparwyr TG ac is-broseswyr esbonio'n glir sut y bydd rheolaethau diogelwch yn cael eu darparu, eu monitro a'u harchwilio, a chynnwys yr holl ddarpariaethau sy'n ofynnol yn y gyfraith.