Data breach PNLD: contatti polizia UK pubblicati sul dark web il…

Il Police National Legal Database conferma l'esfiltrazione di nomi, organizzazioni e email di lavoro di agenti e funzionari. L'ipotesi Power Pages rimane da verificare.

Il Police National Legal Database (PNLD) ha confermato che informazioni di contatto appartenenti a agenti di polizia, personale governativo e utenti del servizio Ask the Police sono state compromesse e pubblicate sul dark web il 26 luglio 2026. La notifica ufficiale, resa nota nei primi giorni di agosto, delinea un incidente che tocca il cuore operativo delle forze dell'ordine britanniche senza tuttavia fornire il quadro completo: né il vettore tecnico, né il numero esatto delle vittime, né la durata dell'intrusione sono stati resi pubblici.

L'attribuzione al gruppo ExfilSquad, attiva sulle bacheche del cybercrimine, non ha ricevuto conferma da parte del PNLD. Parallelamente, un'ipotesi tecnica avanzata dalla società di sicurezza VenariX su una possibile catena di attacco attraverso portali Microsoft Power Pages mal configurati resta, allo stato attuale, non verificata per il caso specifico.

Punti chiave

Il PNLD ha confermato l'esposizione di nomi, organizzazioni e indirizzi email di lavoro di agenti di polizia, personale della giustizia penale, partner governativi e utenti del servizio Ask the Police.
L'incidente è stato identificato il 26 luglio 2026; il gruppo ExfilSquad ha elencato il PNLD sul proprio leak site lo stesso giorno, ma l'organizzazione non ha confermato l'attribuzione.
La società VenariX ha rilevato pattern consistenti con tabelle Microsoft Dataverse in 11 delle 15 vittime rivendicate da ExfilSquad, ma non ha identificato endpoint, permessi o log specifici per il PNLD.
Esiste un conflitto non risolto tra la dichiarazione ufficiale del PNLD, che esclude la compromissione di password, e una ricostruzione del The Guardian basata su fonti interne.

Cosa sappiamo dalla notifica ufficiale

Il PNLD ha comunicato che i dati esposti includono nomi, organizzazioni e indirizzi email di lavoro di polizia, personale, professionisti della giustizia penale, partner governativi e clienti. Sono risultati coinvolti anche i nominativi di persone che avevano inviato domande attraverso il portale Ask the Police, un servizio di informazione al pubblico gestito dall'organizzazione.

Nella sua dichiarazione, il PNLD ha precisato con forza i confini dell'incidente: "Non ci sono evidenze che password o altre credenziali di sicurezza siano state compromesse". L'organizzazione ha altresì chiarito di non essere il Police National Computer né il Police National Database, di non costituire un sistema di registrazione dei reati e di non detenere informazioni confidenziali su vittime, testimoni o autori di reati.

Sul fronte delle conseguenze procedurali, il PNLD ha contattato tutte le organizzazioni interessate, ha notificato l'Information Commissioner's Office (ICO) e sta collaborando con il National Crime Agency (NCA) e con organizzazioni specializzate in cybersecurity. Al 3 agosto 2026, tuttavia, il PNLD non aveva reso pubblico il numero di persone interessate, la data di inizio dell'intrusione, la sua durata o il volume di informazioni prelevate.

L'ipotesi Power Pages e i limiti dell'analisi VenariX

La ricostruzione tecnica più articolata proviene da VenariX, che ha esaminato campioni associati a 11 delle 15 vittime rivendicate da ExfilSquad. In tutti e 11 i casi, la società ha riscontrato strutture consistenti con tabelle Microsoft Dataverse, il database sottostante alla Power Platform di Microsoft. Nel caso specifico della città di Houston, VenariX ha confermato che un portale pubblico restituiva record senza autenticazione e che tali record erano consistenti con i dati pubblicati dal gruppo criminale.

Da queste evidenze, VenariX ha tratto una valutazione di campagna: il percorso probabile passa attraverso siti Power Pages pubblici con permessi eccessivi per il ruolo Anonymous Users su tabelle Dataverse, con Web API o feed OData legacy abilitati. Questa configurazione consente l'estrazione di dati senza autenticazione.

Tuttavia, l'analisi contiene una clausola esplicita e vincolante. VenariX ha dichiarato che le evidenze "non confermano ancora che ogni organizzazione sia stata colpita attraverso un portale Power Apps esposto o lo stesso problema di configurazione". Al 3 agosto 2026, né la notifica del PNLD né il report di VenariX avevano identificato un endpoint, un'impostazione di permessi, una route API o un log di supporto specifici per l'organizzazione britannica. The Hacker News ha sintetizzato il quadro con chiarezza: "il collegamento Power Pages rimane un'ipotesi da testare piuttosto che una spiegazione confermata del breach PNLD".

Un dato di contesto aggiuntivo emerge dalle comunicazioni istituzionali del PNLD: nel riepilogo annuale 2023-24, l'organizzazione aveva dichiarato che il database utilizza tecnologia Microsoft Power Platform. The Hacker News ha inoltre confermato che la pagina della breach notice referenziava asset ospitati sul dominio content.powerapps.com di Microsoft. Questi elementi rendono plausibile l'ipotesi tecnica senza tuttavia elevarla a certezza.

Il dato dei 135.000 pezzi di informazione e il conflitto sulle password

The Guardian ha fornito il dato quantitativo più specifico tra tutte le fonti disponibili, riferendo che i cybercriminali hanno rivendicato 135.000 pezzi di dati dal PNLD. Questa cifra non trova conferma nella notifica ufficiale dell'organizzazione né nelle analisi di altre fonti primarie. Sophos, citata dal Guardian, ha fornito screenshot del leak site e ha valutato che i campioni di dati apparivano legittimi.

Il Guardian ha inoltre riferito, citando una fonte senior informata sul leak, che il breach PNLD include il furto di password usate per accedere al sito. Questa affermazione si trova in aperta contraddizione con la dichiarazione ufficiale del PNLD, che nega esplicitamente la compromissione di credenziali di sicurezza. La stessa fonte senior ha minimizzato il rischio immediato: "Il rischio è basso. La questione è, se usi la tua password per il PNLD, la usi per sistemi più sensibili?".

Il dossier non consente di dirimere questo conflitto. La discrepanza tra la ricostruzione giornalistica basata su fonti interne e la comunicazione istituzionale ufficiale rimane uno dei limiti principali della documentazione disponibile.

Perche è importante

Il dossier non specifica misure correttive tecniche adottate dal PNLD dopo l'incidente. Non documenta se l'organizzazione abbia modificato le configurazioni di accesso ai propri asset su Power Platform, abbia revocato sessioni attive o abbia avviato un audit delle autorizzazioni Anonymous Users. Il brief non riporta interventi mitigativi indicati dalla fonte.

Il dossier non elenca entità tecniche aggiuntive come secrets, chiavi SSH, codice sorgente, filesystem host, token, API keys o certificati come oggetti di compromissione. Non documenta se altre organizzazioni governative britanniche utilizzanti Power Pages siano state coinvolte in incidenti analoghi nello stesso arco temporale.

Il dossier non specifica se Microsoft abbia rilasciato comunicazioni o aggiornamenti di sicurezza in risposta alle ipotesi VenariX. Non documenta inoltre se il controllo di governance a livello tenant descritto da VenariX — che blocca utenti non autenticati dalla lettura di dati Dataverse pur permettendo sottomissioni di form pubbliche — sia stato oggetto di raccomandazione formale agli utenti della piattaforma.

"The reviewed data is most consistent with extraction from public Microsoft Power Pages portals that were configured to allow anonymous users to read Dataverse records." — VenariX

Le implicazioni della campagna ExfilSquad per la sicurezza governativa

La campagna di ExfilSquad, nella ricostruzione di VenariX, si distingue per un pattern operativo specifico: nessun deployment ransomware, nessun uso di malware, nessun movimento laterale e nessun exploit di vulnerabilità software nel materiale esaminato. Il gruppo si limita all'esfiltrazione di dati da portali pubblici, poi monetizzata attraverso la pubblicazione su leak site e la richiesta di pagamento. Sul sito di vendita, ExfilSquad ha formulato la propria offerta con tono pragmatico: "Il pagamento che richiediamo è semplicemente un errore di arrotondamento rispetto ai costi di litigation derivanti dalla fuga dei vostri dati. Siate intelligenti e pagate".

Questo modus operandi ha implicazioni di ampia portata per le organizzazioni che utilizzano piattaforme low-code e no-code per la pubblicazione di servizi al pubblico. La facilità con cui un portale Power Pages può essere configurato per consentire accessi anonimi eccessivi — combinata con la visibilità pubblica dell'infrastruttura — crea una superficie di attacco che non richiede sofisticazione tecnica da parte dell'attaccante. La verifica delle configurazioni di accesso diventa un controllo di governance critico, non un dettaglio implementativo.

Per le forze dell'ordine e il personale della giustizia penale britannici, l'esposizione di indirizzi email di lavoro sul dark web aumenta il rischio di spear phishing mirato. Un attaccante che conosca nome, organizzazione di appartenenza e indirizzo istituzionale di un agente di polizia dispone di elementi sufficienti per costruire messaggi di ingegneria sociale altamente personalizzati, con potenziale impatto sulla sicurezza operativa.

Il caso PNLD si inserisce in un contesto più ampio di fragilità delle supply chain tecnologiche governative basate su cloud pubblico. L'adozione di piattaforme come Microsoft Power Platform per la digitalizzazione dei servizi pubblici comporta vantaggi di velocità di deployment, ma trasferisce all'organizzazione utilizzatrice la responsabilità di una configurazione sicura che il vendor non garantisce by default. La distinzione tra form pubbliche leggittime e accessi anonimi eccessivi su tabelle dati richiede competenze specifiche che non sempre risultano distribuite nei reparti IT delle pubbliche amministrazioni.

Il gap tra l'ipotesi tecnica avanzata da un vendor di sicurezza e la mancanza di conferma ufficiale da parte dell'organizzazione colpita solleva una questione di comunicazione post-incidente. Quando il root cause non è determinato, la gestione della narrazione pubblica diventa un equilibrio precario tra trasparenza e rischio di fornire informazioni errate. Il PNLD ha optato per una comunicazione circoscritta ai fatti certi, rinunciando a ipotesi sul vettore; altre organizzazioni, in situazioni analoghe, hanno preferito indicare percorsi investigativi anche non conclusivi. Non esiste un protocollo standard e il caso evidenzia come la mancanza di un framework condiviso possa lasciare spazio a ricostruzioni parallele, non sempre allineate.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti