Das britische Information Commissioner’s Office (ICO) hat das ACRO Criminal Records Office nach einer Untersuchung von Cybersicherheitslücken, die hochsensible persönliche Informationen potenziell für einen Angreifer zugänglich machten, rügt. Mehr als 10.000 Menschen waren direkt von dem Sicherheitsvorfall betroffen, während ACRO letztlich 84.048 Personen kontaktierte, die möglicherweise betroffen sein könnten.
Die unautorisierte Aktivität fand zwischen August 2022 und März 2023 statt und betraf die öffentliche Website von ACRO sowie das Kentico-Content-Management-System. Laut ICO erhielt der Angreifer Zugang zu einer Umgebung mit umfangreichen persönlichen Informationen, die von der Organisation im Rahmen ihrer Strafregisterdienste verarbeitet wurden.
Die potenziell offengelegten Unterlagen waren besonders sensibel. Sie enthielten Namen, Geburtsdaten, Adressen, Sozialversicherungsnummern, Pass- und Führerscheininformationen, Bankdaten und biometrische Daten. Das betroffene Umfeld enthielt außerdem Straftatenakten und Spezialkategorien zu Bereichen wie Behinderung, Rasse oder ethnische Herkunft, sexuelle Orientierung und Geschlechtsumwandlung.
Trotz des Zugangs des Angreifers haben die Ermittler nicht festgestellt, dass die Informationen tatsächlich aus den Systemen von ACRO entfernt wurden. Das ICO unterscheidet daher zwischen Daten, die während der Kompromittierung möglicherweise zugänglich waren, und Informationen, die als exfiltriert bestätigt wurden. ACRO entschied sich jedoch im April 2023, 84.048 Personen wegen des potenziellen Risikos zu benachrichtigen.
Die Folgen dieser Unsicherheit waren für einige Empfänger erheblich. ACRO erhielt nach seinen Benachrichtigungen 35 Beschwerden, darunter Beschwerden von Personen, die häusliche Gewalt erlebt hatten und befürchteten, dass ihre persönlichen Daten möglicherweise offengelegt worden waren.
Die Untersuchung des ICO konzentrierte sich auf zwei große Sicherheitsprobleme: unzureichendes Patch-Management und unzureichende Überwachung von Sicherheitswarnungen. ACRO verließ sich auf einen Managed Service Provider, um Teile seiner Technologieumgebung zu warten, einschließlich Betriebssystemupdates und monatlicher Wartung. Die Verantwortung für die Aktualisierung des Kentico-CMS fiel jedoch nicht unter diese Regelung.
ACRO selbst überwachte das CMS nicht, um festzustellen, ob Sicherheitspatches installiert werden mussten. Die Aufsichtsbehörde stellte fest, dass die Software im für den Angriff relevanten Zeitraum mehrere bekannte Sicherheitslücken enthielt, was eine erhebliche Lücke in der Sicherheitsaufsicht von ACRO hinterließ.
Das zweite Problem betraf Sicherheitswarnungen, die erzeugt, aber nicht ordnungsgemäß behandelt wurden. ACRO hatte Trend Micro Sicherheitssoftware eingesetzt, die verdächtige Aktivitäten und Malware identifizieren konnte. Das System erstellte Warnungen, aber das ICO stellte fest, dass diese Warnungen weder ausreichend überprüft noch befolgt wurden.
Laut der Aufsichtsbehörde hätte die Untersuchung dieser Warnungen, wenn sie auftraten, ACRO wahrscheinlich früher reagieren und weitere böswillige Aktivitäten verhindern können. Das Versagen war daher nicht nur das Fehlen von Sicherheitstechnologie; Schutzsoftware war bereits vorhanden, aber die Organisation verfügte nicht über einen effektiven Prozess zur Reaktion auf das, was sie entdeckte.
Eine Sicherheitsmaßnahme funktionierte wie beabsichtigt. ACRO hatte die betroffene Umgebung von seiner Kernpolizeiinfrastruktur getrennt. Das ICO stellte fest, dass diese Trennung verhinderte, dass der Angreifer von den kompromittierten Systemen in sensiblere operative Polizeinetzwerke wechselte, wodurch die potenziellen Folgen des Eindringens begrenzt wurden.
Die Rüge der Aufsichtsbehörde verlangt, dass ACRO die während der Untersuchung festgestellten organisatorischen Schwachstellen angeht. Das ICO betonte die Bedeutung, die Verantwortung klar für das Finden, die Bewertung und Installation von Sicherheitsupdates zuzuweisen und gleichzeitig sicherzustellen, dass Sicherheitswarnungen aktiv untersucht werden und nicht nur gesammelt werden.
Der Fall zeigt letztlich, dass der Verstoß von ACRO nicht ausschließlich auf ausgefeilte Angreiferfähigkeiten zurückzuführen war. Die Ergebnisse des ICO identifizierten stattdessen Schwächen in grundlegenden Sicherheitsprozessen, insbesondere im Management bekannter Softwareschwachstellen und in der Reaktion auf Warnungen, die von bestehenden Verteidigungssystemen erzeugt wurden.