英国の警察官や刑事司法専門家の業務情報を格納した大規模データベースが侵害されたことが明らかになりました。
警察全国法務データベース(PNLD)はウェスト・ヨークシャー警察が管理しており、イングランドおよびウェールズの全43警察組織に加え、英国交通警察、検察庁(CPS)、独立警察行為監視機構(IOPC)、国王陛下裁判所・審判所局(HMCTS)の職員情報を保有しています。
PNLDが8月3日に発表した声明によると、同サービスは「データセキュリティインシデント」に見舞われ、これは7月26日に判明したとのことです。
「警察官、職員、その他の刑事司法専門家、政府パートナー、顧客の氏名、所属組織、業務用メールアドレスを含む情報が侵害され、ダークウェブ上に公開されました。パスワードやその他の認証情報が侵害されたことを示す証拠はありません」と説明しています。
「インシデントが判明して以降、当機構はサイバーセキュリティ専門機関および国家犯罪対策庁(NCA)と連携し、状況の調査と適切な対応にあたっています」
警察の情報漏えいに関する関連記事: 表計算ソフトの流出で北アイルランド警察(PSNI)に75万ポンドの制裁金
PNLDが運営する「Ask the Police」サービスも影響を受けました。
「これにより、過去にAsk the Policeへ質問を送信した方々の一部について、氏名とメールアドレスがダークウェブ上に公開されました」と通知には記されています。
「影響を受けた方には、詳しい情報とガイダンスを記載したメールがAsk the Policeからすでに送付されています」
PNLDは、被害者、目撃者、加害者に関する機密情報は一切保有していないと説明しています。
ExfilSquadがPNLDへのハッキングを犯行声明
英国教育省(Department for Education)への最近のデータ侵害の犯行声明を出した恐喝グループ「ExfilSquad」が、今回のPNLDインシデントについても自らの犯行だと主張しています。
Xに投稿されたリークサイトのスクリーンショットによると、同グループは135,000件のレコードを含む1.9GBのデータを保有していると主張しており、本気であることを証明するために一部を実際に流出させています。
「一度あなたの会社のデータがここに投稿されれば、それは決して公の目から消えることはなく、永久にインターネット上で出回り続けることになる」とグループの声明には記されています。「我々が要求する支払い額は、データ漏えいによる訴訟費用と比較すれば誤差のようなものだ。賢明な判断をして、素直に支払うことだ」
英国政府がサイバー犯罪者による恐喝要求に対する公共部門組織の支払いを事実上禁止する方針を打ち出していることを踏まえると、PNLDが支払いに応じる可能性はほぼないとみられます。
今回の漏えいで氏名が挙がった個人は、自身のデータが流出した場合、これに続く攻撃に警戒する必要があります。
Huntressの欧州・中東・アフリカ(EMEA)地域セキュリティオペレーションセンター シニアマネージャーであるDray Agha氏は次のように述べています。「漏えいしたパスワードがなかったことは安心材料ではあるものの、英国の警察・司法職員の氏名と業務用メールアドレスがダークウェブ上に晒されたことで、サイバー犯罪者には、まさに我々の司法制度を守る当事者たちを狙った、極めて標的性の高いスピアフィッシングやソーシャルエンジニアリング攻撃を仕掛けるための格好の名簿が渡ってしまった」
翻訳元: https://www.infosecurity-magazine.com/news/uks-police-national-legal-database/
