PNLD conferma: dati di polizia e governo UK pubblicati sul dark…

Il Police National Legal Database ha confermato che informazioni di contatto di agenti di polizia, funzionari governativi e utenti del servizio sono state

{"main_topic":"cybersecurity","topics":["cybersec","phishing","microsoft","bigtech","cloud","enterprise"]} ```

Il Police National Legal Database ha confermato che informazioni di contatto di agenti di polizia, funzionari governativi e utenti del servizio sono state compromesse e pubblicate sul dark web il 26 luglio 2026. L'incidente espone nomi, organizzazioni e indirizzi email professionali di una popolazione già bersaglio di adversari sofisticati. Il database, ospitato dalla West Yorkshire Police e accessibile a tutte e 43 le forze dell'Home Office in Inghilterra e Galles, non detiene dati criminali di vittime o testimoni, ma la natura istituzionale delle informazioni esposte alimenta un rischio elevato di spear-phishing mirato contro il settore giustizia.

Punti chiave

Il PNLD ha confermato ufficialmente la compromissione di nomi, organizzazioni e email professionali di agenti, funzionari e partner governativi; alcuni dati provengono anche dal servizio "Ask the Police"
L'identificazione dell'incidente è datata al 26 luglio 2026; il gruppo ExfilSquad ha elencato il PNLD sul proprio leak site quello stesso giorno, ma le autorità non hanno attribuito l'attacco
Non risulta compromessa alcuna password o credenziale di sicurezza, secondo la dichiarazione ufficiale del PNLD
Il percorso tecnico di accesso al PNLD resta non confermato: l'ipotesi di una configurazione errata in Microsoft Power Pages, avanzata da VenariX per altre vittime della campagna, non è stata verificata su questo specifico obiettivo

Il profilo dell'incidente: cosa conferma il PNLD

Il Police National Legal Database ha reso pubblica una notifica di breach che delinea con precisione i confini del danno accertato. I dati esposti riguardano nomi personali, denominazioni delle organizzazioni di appartenenza e indirizzi email professionali. L'ambito include agenti di polizia, personale di supporto, professionisti della giustizia penale, partner governativi e clienti del servizio. Tra questi ultimi, figurano anche i nominativi di chi ha utilizzato il portale "Ask the Police" per rivolgersi alle forze dell'ordine.

Il PNLD ha esplicitamente dichiarato che non detiene il Police National Computer né il Police National Database, e che le informazioni compromesse non riguardano dati confidenziali su vittime, testimoni o soggetti indagati. Questa distinzione è rilevante per il calcolo del rischio: l'incidente non espone materiali investigativi o profili criminali, ma costruisce un ponte diretto verso il personale che vi ha accesso.

"There is no evidence to suggest that passwords or other security credentials have been compromised." — Dichiarazione ufficiale PNLD

La campagna ExfilSquad e il divario tra ipotesi tecnica e causa confermata

Il gruppo ExfilSquad ha rivendicato la pubblicazione di circa 1,9 GB di dati, sostenendo di aver estratto circa 114.000 record utente PNLD e circa 21.000 voci dal servizio "Ask the Police". Il PNLD non ha confermato queste cifre. Secondo la fonte primaria, il gruppo ha elencato il database sul proprio leak site il 26 luglio, ma le autorità non hanno formulato alcuna attribuzione.

VenariX, società di threat intelligence citata nella ricostruzione, ha analizzato il pattern tecnico della campagna. In 11 campioni su 15 relativi a vittime di ExfilSquad, i ricercatori hanno riscontrato strutture dati coerenti con Microsoft Dataverse. Un caso verificato riguarda la città di Houston: un portale pubblico Power Pages restituiva record senza autenticazione, in linea con i dati pubblicati dal gruppo. VenariX ha formulato l'ipotesi di un percorso di attacco ricorrente — portale Power Pages con permessi eccessivi per il ruolo "Anonymous Users" su tabelle Dataverse, con Web API o feed OData legacy abilitati — ma ha esplicitamente avvertito che questa evidenza "does not yet confirm that every organization was affected through an exposed Power Apps portal or the same configuration issue".

Per il PNLD specificamente, al 3 agosto 2026 né la notifica ufficiale né l'analisi VenariX hanno individuato endpoint, impostazioni di permesso, route API o log di supporto che confermino questa configurazione come vettore di ingresso. The Hacker News ha sintetizzato: "At this stage, the Power Pages link remains a hypothesis to test rather than an explanation of the PNLD breach."

Il rischio operativo: spear-phishing contro chi indaga

L'esposizione di nomi, organizzazioni e ruoli professionali in un dataset strutturato consente attacchi di ingegneria sociale di precisione eccezionale. Un aggressore che conosce il nome di un investigatore, la sua unità operativa e il suo indirizzo email istituzionale può costruire messaggi di phishing con contesto interno credibile. La popolazione colpita — forze di polizia e sistema della giustizia penale — è già oggetto di interesse da parte di threat actor sofisticati, inclusi gruppi legati alla criminalità organizzata e agli stati-nazione.

Un agente citato da AA.com.tr ha espresso la gravità dello scenario: "I have worked in serious organized crime and put high-level criminals behind bars. For private information to be leaked about me is very disconcerting and puts officers at serious risk". Il dato contestuale di 145.550 agenti a tempo pieno impiegati in Inghilterra e Galles — fornito dalla stessa fonte — delinea la scala del potenziale bersaglio, sebbene il numero esatto delle persone effettivamente compromesse dal breach PNLD resti non dichiarato.

Cosa fare adesso

Il PNLD ha notificato l'incidente all'Information Commissioner's Office e sta collaborando con il National Crime Centre e organizzazioni specializzate in cybersecurity. Per le organizzazioni che operano nell'ecosistema della sicurezza pubblica e per i singoli professionisti esposti, emergono alcune priorità documentate:

Verifica delle configurazioni Power Platform: le amministrazioni che utilizzano Microsoft Power Pages devono rivedere i permessi del ruolo "Anonymous Users" su tabelle Dataverse e lo stato di Web API e feed OData, verificando l'allineamento con le indicazioni di VenariX sulla campagna ExfilSquad
Monitoraggio dello spoofing istituzionale: i team di sicurezza devono potenziare il rilevamento di email fraudolente che impersonino dominio polizia.gov.uk o enti della criminal justice, sfruttando i dati di contesto ora disponibili pubblicamente
Allerta sulla ricostruzione del profilo personale: i professionisti il cui nome e ruolo sono stati esposti devono essere informati che informazioni precedentemente interne sono ora accessibili a chi opera sul dark web
Tracciamento dell'estensione della campagna: il Department for Education è risultato compromesso in un breach correlato ma separato; le agenzie del settore pubblico devono valutare se rientrino nel pattern tecnico identificato da VenariX

Un caso limite per la threat intelligence

L'incidente PNLD incarna una tensione ricorrente nel reporting di cybersecurity: la pressione per identificare rapidamente un vettore tecnico si scontra con la lentezza delle verifiche istituzionali. VenariX ha documentato un pattern solido su altre vittime, ma la prudenza metodologica nel non estenderlo automaticamente al PNLD è tanto importante quanto la scoperta stessa. Per i lettori tecnici, la lezione è che una campagna con strutture dati comuni non implica identiche configurazioni vulnerabili in ogni obiettivo: l'assenza di log, endpoint o permessi specifici per il PNLD, al momento, è un dato tanto rilevante quanto l'ipotesi Power Pages.

La posta in gioco supera il singolo breach. Se il pattern Dataverse/Power Pages si confermerà come vettore dominante della campagna ExfilSquad, le implicazioni riguarderanno migliaia di deployment governativi su infrastruttura cloud Microsoft. Fino a quel momento, il dovere giornalistico è mantenere separati i fetti di certezza da quelli di probabilità.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti