Legal Aid Agency: date furate din 1978, inclusiv de la probațiune

Legal Aid Agency (LAA), agenția Ministerului Justiției din Regatul Unit care gestionează asistența juridică gratuită în Anglia și Țara Galilor, a publicat pe 14 octombrie 2026 o actualizare despre atacul cibernetic suferit în aprilie 2025. Noile analize criminalistice arată că datele furate sunt mai vechi și mai ample decât s-a declarat până acum: circa 250.000 de înregistrări sunt anterioare anului 2007, iar cea mai veche verificată datează din 1978. Printre datele exfiltrate se află și informații ale serviciului de probațiune.

Cazul îi privește pe cei care administrează sisteme cu mulți ani de istorie: datele păstrate mai mult decât e necesar și împrăștiate în arhive slab structurate măresc paguba și încetinesc evaluarea unui incident.

Ce s-a întâmplat

Potrivit The Register, intruziunea a fost detectată pe 23 aprilie 2025, dar amploarea ei a fost stabilită abia pe 16 mai. La începutul lui mai 2025 agenția vorbise despre posibile date de plată ale furnizorilor; două săptămâni mai târziu a recunoscut furtul datelor solicitanților începând din 2010. Serviciile online ale LAA au fost oprite și, după cum relatează The Register, revenirea în funcțiune din decembrie a adus întârzieri și probleme tehnice pentru avocați și cabinete.

În actualizarea din această săptămână, preluată de toate sursele, agenția scrie că marea majoritate a datelor privește cereri, solicitări de plată și plăți între ianuarie 2007 și 16 mai 2025, dar că circa 250.000 de înregistrări sunt mai vechi: mai ales din anii ’90 și 2000, cu o parte „fracționar de mică” dinainte de 1990. The Register adaugă că printre materialele mai vechi se află evaluări financiare pentru asistența juridică din 1978 până în 2012 și plăți din regimul Very High Cost Cases din 1981 până în 2004.

Agenția precizează că 250.000 nu este numărul confirmat al persoanelor afectate și că existența înregistrărilor dinainte de 2007 nu înseamnă că toți cei care au cerut asistență juridică înainte de acel an sunt afectați.

Ce date au fost furate

Datele diferă de la o persoană la alta. Coroborând sursele, pentru solicitanți și beneficiari ele pot include nume, adresă, cod poștal, data nașterii, National Insurance number, numere de telefon, numere de dosar, răspunsuri introduse în Client and Cost Management System (CCMS), datele de început și de sfârșit ale proceselor, costuri și TVA, evaluări financiare ale inculpaților și partenerilor lor, conturi bancare și proprietăți și, în unele cazuri, date de carduri de plată parțial mascate. Potrivit The Register, unele înregistrări conțin și acuzații penale, declarații, condamnări și pedepse.

De la furnizori (circa 2.000 de cabinete, avocați și organizații non-profit, potrivit BleepingComputer) au fost furate contracte, sedii, date de plată și credențiale ale conturilor, inclusiv nume și adrese de email din portalul LAA Online. The Record și SecurityWeek menționează și nume de judecători, avocați ai apărării și ai acuzării, stenografi din procesele de la Crown Court și părți adverse din unele procese civile.

Probațiune: au fost exfiltrate nume, date de naștere, naționalități și numere de dosar pentru un număr relativ mic de persoane supravegheate de serviciul de probațiune între 2010 și 2017. Potrivit The Register, peste 99% privesc anii 2016 și 2017, iar niciuna dintre date nu se referă la victime ale infracțiunilor.

Detalii tehnice

Sursele oferă puține elemente despre vector. Potrivit The Record, Sarah Sackman, ministru în cadrul Ministerului Justiției, a explicat într-o declarație scrisă către Parlament că infractorii au exploatat vulnerabilități în sistemele IT ale LAA, au intrat în sisteme cu date personale și au copiat și exfiltrat o parte din date. Vulnerabilitățile nu au fost indicate, nu există CVE sau indicatori de compromitere publici și nicio sursă nu atribuie atacul unui grup anume.

The Record relatează că atacatorii pretindeau că dețin date despre peste 2 milioane de persoane și au cerut o plată, amenințând că le publică; guvernul britanic nu plătește în cazul extorcărilor. Astăzi ministerul spune că nu are indicii că datele ar fi fost publicate sau distribuite, în timp ce în mai 2025 un purtător de cuvânt descrisese publicarea ca fiind o chestiune de „când, nu dacă”.

Despre motivul pentru care au fost necesare 18 luni, agenția explică faptul că datele furate proveneau din mai multe sisteme complexe și erau în mare parte nestructurate, fragmentate sau incomplete. După atac, ministerul a consolidat autentificarea și controlul accesului, a îmbunătățit monitorizarea, a corectat vulnerabilități și a început să scoată din uz sau să izoleze sistemele vechi cu risc ridicat; colaborează cu National Crime Agency, NCSC și ICO. The Register observă că actualizarea nu explică de ce înregistrări din anii ’70 erau încă accesibile.

Impactul pentru companiile europene și italiene

Cazul pune laolaltă trei probleme la fel de frecvente în Europa. Prima este păstrarea datelor: GDPR cere ca datele să fie păstrate doar cât este necesar, iar fiecare arhivă uitată devine material pentru extorcare. A doua sunt datele nestructurate: dacă nu știi unde se află datele tale, după un furt nu poți spune cine este afectat, iar notificările către autoritatea de supraveghere și către persoanele vizate ajung târziu sau trebuie corectate de mai multe ori. A treia sunt credențialele furnizorilor: cine accesează un portal public sau al companiei cu credențiale refolosite în altă parte devine un risc și pentru alte sisteme.

Pentru entitățile NIS2, printre care multe administrații publice, capacitatea de a stabili rapid amploarea unui incident este necesară pentru a respecta termenele de notificare către CSIRT. Tema este la fel de delicată pentru cabinetele de avocatură, instituțiile publice și sănătate, care prelucrează date judiciare sau din categorii speciale.

Ce trebuie să faci acum

1. Cartografiază datele, inclusiv cele nestructurate și din sistemele vechi: unde sunt, ale cui sunt, de când se află acolo.
2. Aplică termenele de păstrare: șterge sau mută offline ce nu mai este necesar.
3. Izolează sistemele vechi pe care nu le poți actualiza și limitează cine și ce poate ajunge la ele.
4. Urmărește ieșirile de date: alerte pentru exporturi și transferuri externe neobișnuite ca volum sau oră.
5. Protejează conturile furnizorilor cu autentificare multifactor; după o breșă, impune schimbarea parolelor.
6. Păstrează suficiente jurnale pentru a reconstitui ce a fost citit și copiat și pregătește un plan pentru a analiza rapid datele exfiltrate.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pentru fiecare mașină, cu cele deja exploatate evidențiate, și îți permite să izolezi de rețea o mașină suspectă. ARX Expose semnalează vulnerabilitățile cunoscute ale serviciilor publice și conturile companiei implicate în breșe. ARX Retain păstrează jurnalele pentru anii ceruți, astfel încât după un incident poți reconstitui ce s-a întâmplat și când.

Ultima actualizare: 15 octombrie 2026