Legal Aid Agency: dati rubati fino al 1978, anche dalla probation

La Legal Aid Agency (LAA), l’agenzia del ministero della Giustizia britannico che gestisce il gratuito patrocinio in Inghilterra e Galles, ha pubblicato il 14 ottobre 2026 un aggiornamento sull’attacco informatico subito nell’aprile 2025. Le nuove analisi forensi mostrano che i dati sottratti sono più vecchi e più ampi di quanto dichiarato finora: circa 250.000 record sono anteriori al 2007 e il più vecchio verificato risale al 1978. Tra i dati esfiltrati ci sono anche informazioni del servizio di probation.

Il caso interessa chi gestisce sistemi con molti anni di storia: dati conservati più a lungo del necessario e sparsi in archivi poco strutturati allargano il danno e rendono lenta la valutazione di un incidente.

Cosa è successo

Secondo The Register, l’intrusione è stata rilevata il 23 aprile 2025, ma la sua portata è stata stabilita solo il 16 maggio. A inizio maggio 2025 l’agenzia aveva parlato di possibili dati di pagamento dei fornitori; due settimane dopo aveva ammesso il furto di dati dei richiedenti dal 2010 in poi. I servizi online della LAA sono stati spenti e, come riporta The Register, il ritorno in servizio di dicembre è stato accompagnato da ritardi e problemi tecnici per avvocati e studi.

Nell’aggiornamento di questa settimana, riportato da tutte le fonti, l’agenzia scrive che la grande maggioranza dei dati riguarda domande, richieste di rimborso e pagamenti tra gennaio 2007 e il 16 maggio 2025, ma che circa 250.000 record sono precedenti: per lo più degli anni Novanta e Duemila, con una parte «frazionalmente piccola» anteriore al 1990. The Register aggiunge che tra il materiale più vecchio ci sono valutazioni economiche per il gratuito patrocinio dal 1978 al 2012 e pagamenti del regime Very High Cost Cases dal 1981 al 2004.

L’agenzia precisa che 250.000 non è il numero confermato delle persone coinvolte e che la presenza di record anteriori al 2007 non significa che tutti quelli che hanno chiesto il patrocinio prima di allora siano interessati.

Quali dati sono stati sottratti

I dati variano da persona a persona. Incrociando le fonti, per richiedenti e beneficiari possono comprendere nome, indirizzo, codice postale, data di nascita, National Insurance number, numeri di telefono, numeri di pratica, risposte inserite nel Client and Cost Management System (CCMS), date di inizio e fine delle cause, costi e IVA, valutazioni economiche di imputati e partner, conti bancari e proprietà e, in alcuni casi, dati di carte di pagamento parzialmente oscurati. Secondo The Register alcuni record contengono anche capi d’imputazione, dichiarazioni, condanne e pene.

Per i fornitori (circa 2.000 tra studi legali, avvocati e organizzazioni non profit, secondo BleepingComputer) sono stati sottratti contratti, sedi, dati di pagamento e credenziali degli account, compresi nomi ed email del portale LAA Online. The Record e SecurityWeek citano anche nomi di giudici, avvocati della difesa e dell’accusa, stenografi dei processi alla Crown Court e controparti di alcune cause civili.

Probation: sono stati esfiltrati nomi, date di nascita, nazionalità e numeri di pratica di un numero relativamente piccolo di persone seguite dal servizio di probation tra il 2010 e il 2017. Secondo The Register oltre il 99% riguarda il 2016 e il 2017, e nessun dato riguarda vittime di reati.

Dettagli tecnici

Le fonti danno pochi elementi sul vettore. Secondo The Record, Sarah Sackman, ministra del dicastero della Giustizia, ha spiegato in una dichiarazione scritta al Parlamento che i criminali hanno sfruttato vulnerabilità nei sistemi IT della LAA, sono entrati in sistemi con dati personali e hanno copiato ed esfiltrato parte dei dati. Non sono state indicate le vulnerabilità, né CVE o indicatori di compromissione pubblici, e nessuna fonte attribuisce l’attacco a un gruppo preciso.

The Record riporta che gli autori avevano dichiarato di avere dati di oltre 2 milioni di persone e chiesto un pagamento, minacciando di pubblicarli; il governo britannico non paga le estorsioni. Oggi il ministero dice di non avere indicazioni che i dati siano stati pubblicati o condivisi, mentre a maggio 2025 un portavoce aveva parlato di pubblicazione come questione di «quando, non se».

Sul perché siano serviti 18 mesi, l’agenzia spiega che i dati rubati provenivano da più sistemi complessi ed erano in gran parte non strutturati, frammentati o incompleti. Dopo l’attacco il ministero ha rafforzato autenticazione e controllo degli accessi, migliorato il monitoraggio, corretto vulnerabilità e iniziato a dismettere o isolare i sistemi legacy più a rischio; collabora con National Crime Agency, NCSC e ICO. The Register osserva che l’aggiornamento non spiega perché record degli anni Settanta fossero ancora accessibili.

Impatto per le aziende europee e italiane

Il caso mette in fila tre problemi comuni anche in Europa. Il primo è la conservazione: il GDPR chiede di tenere i dati solo per il tempo necessario, e ogni archivio dimenticato diventa materiale per un’estorsione. Il secondo è il dato non strutturato: se non sai dove sono i dati, dopo un furto non sai dire chi è coinvolto, e le notifiche al Garante e agli interessati arrivano tardi o vanno corrette più volte. Il terzo sono le credenziali dei fornitori: chi accede a un portale pubblico o aziendale con le stesse credenziali usate altrove diventa un rischio anche per altri sistemi.

Per i soggetti NIS2, tra cui molte pubbliche amministrazioni, la capacità di stabilire in fretta la portata di un incidente è necessaria per rispettare i tempi di notifica allo CSIRT. Il tema è delicato anche per studi legali, enti e sanità, che trattano dati giudiziari o particolari.

Cosa fare subito

1. Mappa i dati, compresi quelli non strutturati e nei sistemi legacy: dove sono, di chi sono, da quando ci sono.
2. Applica i tempi di conservazione: cancella o sposta offline quello che non serve più.
3. Isola i sistemi legacy che non puoi aggiornare e limita chi e cosa può raggiungerli.
4. Controlla le uscite di dati: allarmi su esportazioni e trasferimenti verso l’esterno insoliti per volume od orario.
5. Proteggi gli account dei fornitori con autenticazione a più fattori; dopo una violazione, forza il cambio delle password.
6. Conserva log sufficienti per ricostruire cosa è stato letto e copiato, e prepara un piano per analizzare in fretta i dati esfiltrati.

Come aiuta ARXDOME

ARX Shield mostra le vulnerabilità aperte per macchina, con quelle già sfruttate in evidenza, e permette di isolare dalla rete una macchina sospetta. ARX Expose segnala le vulnerabilità note sui servizi pubblici e gli account aziendali coinvolti in violazioni. ARX Retain conserva i log per gli anni richiesti, così in caso di incidente si può ricostruire cosa è successo e quando.

Ultimo aggiornamento: 15 ottobre 2026