نشت اطلاعات PNLD؛ اطلاعات تماس پلیس و نهادهای دولتی بریتانیا در دارک‌وب منتشر شد

سازمان Police National Legal Database (PNLD) تأیید کرده است که در پی یک رخداد امنیتی، اطلاعات تماس مرتبط با پلیس، سازمان‌های دولتی و کاربران این سامانه به سرقت رفته و در دارک‌وب منتشر شده است.

بر اساس اعلام PNLD، داده‌های افشا شده شامل نام افراد، نام سازمان‌ها و آدرس‌های ایمیل کاری متعلق به افسران پلیس، کارکنان نیروهای پلیس، متخصصان حوزه عدالت کیفری، شرکای دولتی و برخی مشتریان این سرویس بوده است.

این حادثه که در تاریخ ۲۶ ژوئیه ۲۰۲۶ شناسایی شد، همچنین برخی اطلاعات مربوط به افرادی را که از طریق سرویس Ask the Police پرسش ارسال کرده بودند، در معرض افشا قرار داده است. کارشناسان امنیتی هشدار داده‌اند که چنین اطلاعاتی می‌تواند برای اجرای حملات فیشینگ هدفمند مورد استفاده قرار گیرد؛ زیرا پیام‌های جعلی که با نام و اطلاعات واقعی افراد ارسال می‌شوند، احتمال بیشتری برای جلب اعتماد قربانیان دارند.

PNLD اعلام کرده است:

«هیچ شواهدی وجود ندارد که نشان دهد گذرواژه‌ها یا سایر اطلاعات احراز هویت کاربران در این رخداد به خطر افتاده است.»

این سازمان تأکید کرده که PNLD یک سامانه اطلاعات حقوقی برای نیروهای پلیس و سازمان‌های مرتبط با عدالت کیفری است و ارتباطی با Police National Computer (PNC) یا Police National Database (PND) ندارد. همچنین این پایگاه شامل اطلاعات محرمانه مربوط به قربانیان، شاهدان یا مجرمان نیست.

PNLD اعلام کرده تمامی سازمان‌های تحت تأثیر را مطلع کرده و راهنمایی‌های امنیتی لازم را در اختیار آن‌ها قرار داده است. کاربران آسیب‌دیده سرویس Ask the Police نیز ایمیل اطلاع‌رسانی دریافت کرده‌اند. این سازمان همچنین موضوع را به دفتر کمیسر اطلاعات بریتانیا (ICO) گزارش داده و با آژانس ملی مبارزه با جرم (NCA) و متخصصان امنیت سایبری همکاری می‌کند.

جزئیات فنی و احتمال ارتباط با Microsoft Power Platform

تا زمان انتشار این گزارش، PNLD جزئیات کاملی درباره تعداد افراد آسیب‌دیده، مدت زمان دسترسی مهاجمان و حجم داده‌های استخراج‌شده منتشر نکرده است.

بر اساس گزارش سالانه PNLD، این سامانه از فناوری Microsoft Power Platform استفاده می‌کند. بررسی‌های انجام‌شده توسط شرکت امنیتی VenariX روی نمونه‌هایی از داده‌های منتشرشده توسط گروه ExfilSquad نشان می‌دهد ساختار داده‌ها در چندین مورد با محیط Microsoft Dataverse مطابقت داشته است.

VenariX احتمال داده است که برخی از این رخدادها ممکن است به دلیل پیکربندی نادرست در Microsoft Power Pages رخ داده باشند؛ برای مثال، فعال بودن دسترسی گسترده برای کاربران ناشناس (Anonymous Users) به جداول Dataverse.

با این حال، این شرکت تأکید کرده که تاکنون هیچ مدرک قطعی وجود ندارد که نشان دهد رخداد PNLD دقیقاً از همین مسیر انجام شده است. همچنین هیچ مسیر API، تنظیمات دسترسی یا نقطه ورود مشخصی که عامل مستقیم این نفوذ باشد، منتشر نشده است.

توصیه‌های امنیتی

کارشناسان امنیتی توصیه می‌کنند سازمان‌هایی که از Microsoft Power Pages و Dataverse استفاده می‌کنند، موارد زیر را بررسی کنند:

بازبینی مجوزهای دسترسی کاربران ناشناس به جداول داده بررسی تنظیمات Web API و رابط‌های قدیمی OData آزمایش دسترسی سامانه از یک مرورگر بدون ورود به حساب کاربری محدود کردن دسترسی عمومی به داده‌های حساس

مایکروسافت نیز قابلیتی برای جلوگیری از دسترسی کاربران ناشناس به داده‌های Dataverse ارائه کرده است، در حالی که امکان دریافت فرم‌های عمومی همچنان حفظ می‌شود.

وضعیت فعلی

گروه ExfilSquad در تاریخ ۲۶ ژوئیه نام PNLD را در فهرست قربانیان خود منتشر کرد، اما PNLD تاکنون این حمله را به این گروه نسبت نداده است.

بررسی‌های VenariX نیز تاکنون نشانه‌ای از استفاده از باج‌افزار، بدافزار، حرکت جانبی در شبکه یا سوءاستفاده از یک آسیب‌پذیری نرم‌افزاری مشخص در این کمپین پیدا نکرده است.

تا این لحظه، PNLD اطلاعاتی درباره تعداد دقیق قربانیان، روش نفوذ مهاجمان و میزان کامل داده‌های منتشرشده ارائه نکرده است.