PNLD: wyciek danych kontaktowych brytyjskiej policji i wymiaru sprawiedliwości

Police National Legal Database (PNLD) potwierdziła incydent, w którym dane kontaktowe policjantów, pracowników oraz innych osób związanych z brytyjskim wymiarem sprawiedliwości zostały przejęte i opublikowane w dark webie. Naruszenie obejmuje również część użytkowników publicznej usługi Ask the Police.

Najważniejsze jest precyzyjne opisanie zakresu. Komunikat PNLD potwierdza nazwiska, organizacje i służbowe adresy e-mail. Instytucja nie znalazła dowodów na kompromitację haseł lub innych danych uwierzytelniających. PNLD nie jest systemem ewidencji przestępstw i deklaruje, że nie przechowuje poufnych danych ofiar, świadków ani sprawców.

Co wiadomo, a czego nie potwierdzono

Incydent wykryto w niedzielę 26 lipca. PNLD współpracuje ze specjalistami cyberbezpieczeństwa i brytyjską National Crime Agency, powiadomiła Information Commissioner’s Office oraz organizacje, których dotyczy zdarzenie.

Grupa wymuszająca ExfilSquad przypisała sobie atak i twierdzi, że zdobyła 1,9 GB danych oraz około 135 tys. rekordów: 114 tys. subskrybentów PNLD i 21 tys. użytkowników Ask the Police. BleepingComputer informuje, że grupa opublikowała próbkę. PNLD nie przypisała jednak włamania temu aktorowi i nie ujawniła wektora dostępu. Liczby grupy należy więc traktować jako deklarację przestępców, nie wynik zakończonego dochodzenia.

W przypadku Ask the Police potwierdzono publikację niektórych nazwisk i adresów e-mail osób, które wcześniej wysłały pytanie przez stronę. Osoby zidentyfikowane jako poszkodowane otrzymały wiadomość z dalszymi informacjami.

„Tylko dane kontaktowe” nadal tworzą ryzyko

Służbowy e-mail, nazwisko i jednostka organizacyjna pozwalają budować wiarygodny pretekst. Napastnik może podszyć się pod przełożonego, dział wsparcia, NCA, PNLD albo partnera rządowego. Dla funkcjonariuszy i personelu wymiaru sprawiedliwości publikacja powiązań zawodowych może też zwiększać ryzyko nękania, doxingu i ukierunkowanego spear phishingu.

Brak wycieku hasła nie oznacza, że nie trzeba działać. Atakujący mogą próbować:

• wyłudzić reset hasła lub kod MFA, powołując się na prawdziwy incydent;
• wysłać fałszywe „powiadomienie PNLD” z linkiem do logowania;
• korelować dane służbowe z numerami telefonu i kontami społecznościowymi;
• atakować partnerów o słabszej ochronie, używając znanej relacji z policją;
• zastraszać osoby, których rola została ujawniona.

Zalecenia dla osób i organizacji

Odbiorca powiadomienia powinien korzystać wyłącznie z oficjalnych kanałów PNLD lub własnej organizacji. Nie należy logować się przez link z niespodziewanej wiadomości ani podawać kodu MFA konsultantowi. Warto zwiększyć czujność wobec próśb o pilną weryfikację konta, zmianę danych płatniczych lub otwarcie dokumentu.

Organizacje powinny przekazać pracownikom jeden, łatwy do zweryfikowania komunikat, wzmocnić filtrowanie domen podobnych do PNLD i monitorować próby resetu kont. Konta o podwyższonym ryzyku warto objąć phishing-resistant MFA, ograniczeniem rejestracji nowych metod uwierzytelniania i dodatkową weryfikacją przez helpdesk.

Zespół reagowania powinien prowadzić rozdzielnie dwa strumienie: techniczne ustalenie wejścia i eksfiltracji oraz ochronę ludzi, których dane opublikowano. Pomagają w tym plan reagowania na incydenty oraz praktyki z przewodnika jak chronić się przed kradzieżą tożsamości.

Fakty źródłowe a wnioski Breachroad

PNLD potwierdza rodzaje opublikowanych danych, datę wykrycia, współpracę z NCA i zgłoszenie do ICO. Liczba 135 tys. rekordów, wolumen 1,9 GB i przypisanie do ExfilSquad pochodzą od grupy oraz relacji medialnej. Wektor wejścia pozostaje niepubliczny.

Wnioskiem Breachroad jest potraktowanie ujawnionych relacji organizacyjnych jako danych operacyjnych dla spear phishingu, nawet bez haseł. Szkolenia z cyberbezpieczeństwa i phishingu mogą przygotować pracowników i helpdesk na wtórne ataki, a audyt bezpieczeństwa IT może ocenić ochronę tożsamości, monitoring i gotowość komunikacyjną.