Adatszivárgás a brit rendőrségi infrastruktúra középpontjában

Az Egyesült Királyság Rendőrségi Nemzeti Jogi Adatbázisa (PNLD) és a hozzá kapcsolódó Ask the Police szolgáltatás megerősítette az adatvédelmi incidenst, újabb bejegyzéssel bővítve a brit bűnüldözési infrastruktúrát érintő események egyre hosszabb listáját. A PNLD egy olyan erőforrás, amelyet rendőrök, ügyészek és más büntető igazságszolgáltatási szakemberek használnak a naprakész jogi útmutatások eléréséhez, így az ország igazságszolgáltatási rendszerének érzékeny eleme, nem pedig egy átlagos fogyasztói platform.

A jogsértést az ExfilSquad néven működő hackercsoportnak tulajdonítják, amely állítólag körülbelül 1,9 GB adatot, nagyjából 135 000 rekordot szivárogtatott ki. A PNLD megerősítette, hogy rendőrségi, kormányzati és ügyfélkapcsolati adatok kerültek fel a sötét webre, beleértve a rendőrökhöz és a rendőrségi alkalmazottakhoz köthető neveket, szervezeteket és munkahelyi e-mail címeket, valamint néhány, az Ask the Police nyilvános szolgáltatáshoz kapcsolódó rekordot.

Milyen adatok kerültek nyilvánosságra, és miért fontos ez?

Ellentétben azokkal az adatszivárgásokkal, amelyek pénzügyi adatokat vagy jelszavakat fednek fel, ez az incidens a szakmai azonosító adatokra összpontosít: a rendőrségen és a bűnüldözésben dolgozók nevére, rangjára, munkahelyi hovatartozására és hivatalos e-mail címére. A PNLD jelezte, hogy úgy tűnik, a kiszivárgott adathalmazban nem szerepelnek jelszavak, ami korlátozza a fiókátvétel közvetlen kockázatát. A rendőrségi alkalmazottak munkahelyi e-mailjeinek és szervezeti adatainak nyilvánosságra kerülése azonban így is valós következményekkel jár.

Az ilyen jellegű adatok értékesek a fenyegető szereplők számára, mert segítségükkel célzott adathalász kampányokat építhetnek, rendőröket személyesíthetnek meg, vagy feltérképezhetik a rendőri erők szervezeti felépítését. Ha a támadók pontosan tudják, hogy ki hol dolgozik, és hogyan érhetik el, az ezt követő social engineering kísérletek sokkal meggyőzőbbé válnak. Egy olyan adatbázis esetében, amely a rendőrségi jogi döntéshozatal alapját képezi, még a kizárólag kapcsolattartási adatokra korlátozódó jogsértés is jogos aggodalmakat vet fel a műveleti biztonsággal és az egyének későbbi célba vételének lehetőségével kapcsolatban.

Ez az incidens nem tűnik elszigeteltnek. Szorosan követi azt a kapcsolódó adatszivárgást, amelynek során ugyanaz a fenyegető csoport körülbelül 135 000 brit rendőrségi rekordot szivárogtatott ki egy sötét webes fórumon, részeként egy szélesebb körű hullámnak, amely más közszférábeli rendszerek adatait is elsodorta. A méretbeli és a szereplői átfedés összehangolt kampányra utal, amely a brit rendőrséghez kapcsolódó rendszereket célozza, nem pedig egyszeri, opportunista támadásra – ezt a különbségtételt érdemes figyelemmel kísérni, ahogy további részletek kerülnek napvilágra.

Adatvédelmi következmények a rendőrségi alkalmazottakra és a nyilvánosságra nézve

Azon rendőrök és alkalmazottak számára, akiknek az adatai bekerültek a szivárgásba, az adatvédelmi következmények túlmutatnak az egyszerű kényelmetlenségen. A munkahelyi e-mail címek és a szervezeti hovatartozások, ha egyszer nyilvánosságra kerülnek a sötét webes fórumokon, nehezen visszavonhatók. Az érzékeny ügyekkel vagy fedett tevékenységgel foglalkozó rendőrök fokozott személyes kockázattal szembesülhetnek, ha hovatartozásuk szélesebb körben ismertté válik, vagy más kiszivárgott adatállományokkal összekapcsolják.

Az Ask the Police szolgáltatást igénybe vevő állampolgárok számára az adatnyilvánosság emlékeztető arra, hogy még az átláthatóság és a nyilvánosság bevonása érdekében épített, kormányzathoz közeli eszközök is válhatnak támadási felületté. Mindenki, aki ezen a szolgáltatáson keresztül adta meg elérhetőségét, különös óvatossággal kezelje a PNLD-re vagy az Ask the Police-ra hivatkozó váratlan e-maileket, mivel a kiszivárgott kapcsolattartási adatokat gyakran használják fel újra olyan utólagos adathalász kísérletekben, amelyek legitimnek tűnnek.

Mit jelent ez Önnek?

Ha Ön rendőr, rendőrségi alkalmazott vagy büntető igazságszolgáltatási szakember, akinek az adatai szerepelhetnek a PNLD rendszerében, érdemes abból kiindulnia, hogy a munkahelyi e-mail címe most már bűnözői fórumokon kering. Ez nem jelenti azt, hogy a fiókjait feltörték, különösen mivel a jelek szerint jelszavak nem részei a szivárgásnak, de növeli a célzott adathalászattal és megszemélyesítési kísérletekkel szembeni kitettségét.

Azok a magánszemélyek, akik kapcsolatba léptek az Ask the Police szolgáltatással, szintén maradjanak éberek. Az ehhez hasonló jogsértéseket gyakran követik opportunista adathalász kampányok, amelyek név szerint hivatkoznak az incidensre, hogy hitelesnek tűnjenek, ezért a PNLD-re, az Ask the Police-ra vagy az Egyesült Királyság rendőrségi szolgáltatásaira hivatkozó kéretlen e-maileket egészséges szkepticizmussal kezelje, különösen, ha személyes adatokat kérnek, vagy azonnali cselekvésre sürgetnek.

Gyakorlati teendők

Ha úgy véli, hogy az Ön adatai is érintettek lehetnek ebben a jogsértésben, fontolja meg a következő lépéseket: ellenőrizze a PNLD-től vagy az Ask the Police-tól érkező bármely kommunikáció hitelességét közvetlenül a hivatalos csatornákon keresztül, ne a beágyazott linkekre kattintva; engedélyezze a többtényezős hitelesítést az érintett e-mail címhez kapcsolódó munkahelyi vagy személyes fiókokon; és a jogsértésre hivatkozó gyanús e-maileket jelentse szervezete informatikai biztonsági csapatának, ahelyett, hogy közvetlenül válaszolna. Miközben az incidenssel és a kapcsolódó rendőrségi adatszivárgásokkal kapcsolatos vizsgálatok folytatódnak, az Egyesült Királyság rendőrségi rendszereire hivatkozó váratlan megkeresésekkel szembeni óvatosság jelenleg a legpraktikusabb védekezés.