Eine zuvor unbekannte Cyberkriminalitätsgruppe namens ExfilSquad ist aufgetaucht, indem sie Angriffe auf 15 Organisationen im öffentlichen und privaten Sektor beansprucht, darunter das britische Bildungsministerium (DfE), die Police National Legal Database (PNLD) und mehrere bekannte internationale Unternehmen. Bisher wurden nur die Vorfälle mit dem DfE und der PNLD von den betroffenen Organisationen anerkannt, während die übrigen Ansprüche der Gruppe nicht unabhängig überprüft wurden.
Das Bildungsministerium bestätigte, dass es kürzlich auf einen Cybersicherheitsvorfall reagiert hat und sagte, es habe schnell gehandelt, um die Sicherheitslücke einzudämmen. Laut dem Ministerium sind die offengelegten Informationen auf Kundenservice-Kontaktdaten von Einzelpersonen und Organisationen beschränkt, und fügt hinzu, dass derzeit keine Beweise dafür vorliegen, dass auf andere Informationskategorien zugegriffen wurde. Das Ministerium hat das Büro des Informationskommissars benachrichtigt und arbeitet mit dem National Cyber Security Centre und der National Crime Agency zusammen, während die Ermittlungen andauern.
ExfilSquads Version der Ereignisse unterscheidet sich erheblich. Die Gruppe behauptet, etwa 600.000 Help-Portal-Datensätze zusammen mit etwa 7.000 Datensätzen kopiert zu haben, die mit dem britischen Turing-Programm in Verbindung stehen, das internationale Bildungsaustausche unterstützt. Die Angreifer behaupten, die Daten enthüllen Namen, E-Mail-Adressen, Telefonnummern und Stellenbezeichnungen von Eltern und Bildungspersonal. Diese Behauptungen wurden vom Bildungsministerium nicht bestätigt.
Obwohl das Ministerium betont, dass die kompromittierten Informationen begrenzt waren, warnen Cybersicherheitsspezialisten, dass Kontaktinformationen allein für Angreifer wertvoll sein können. Frank van Oeveren, stellvertretender Direktor für Global Threat Intelligence bei der NCC Group, sagte, solche Informationen könnten genutzt werden, um überzeugende Phishing-Kampagnen, Angriffe von Geschäfts-E-Mail-Kompromittierungen und andere Formen von Social Engineering zu erstellen. Er wies außerdem darauf hin, dass Bildungseinrichtungen häufige Ziele sind, da sie große Mengen personenbezogener Daten verwalten und dabei oft komplexe Technologieumgebungen betreiben.
Die Gruppe hat außerdem die Verantwortung für die Verletzung der Police National Legal Database übernommen, ein rechtliches Referenzsystem, das von Polizeikräften in England und Wales genutzt wird. Laut ExfilSquad erhielt sie etwa 1,9 GB Daten mit rund 135.000 Daten, darunter Namen, Arbeits-E-Mail-Adressen und Polizeizugehörigkeiten. Die PNLD bestätigte, dass Daten aus ihren Systemen entnommen wurden, erklärte jedoch, dass der Vorfall keine vertraulichen Informationen zu Opfern, Zeugen oder Tätern preisgab. Beamte räumten außerdem ein, dass die für den Zugriff auf die Plattform verwendeten Zugangsdaten zu den kompromittierten Daten gehörten, erklärten jedoch, dass das Risiko für sensiblere Systeme weiterhin gering sei.
Über die beiden bestätigten Vorfälle hinaus hat ExfilSquad auf seiner Leckseite eine Reihe weiterer Organisationen aufgeführt, darunter Microsoft, Frontier Airlines, Allstate, die Stadt Houston und die Stadt Atlanta. Die Gruppe behauptet, große Mengen interner Informationen von mehreren dieser Organisationen gestohlen zu haben, aber keines der Unternehmen hat die behaupteten Sicherheitsverletzungen bestätigt. Sicherheitsforscher haben außerdem angedeutet, dass einige der von ExfilSquad verbreiteten Daten aus zuvor gemeldeten Vorfällen stammen könnten und nicht aus neu kompromittierten Systemen.
Da mehrere Ermittlungen noch laufen, bleibt unklar, ob ExfilSquad für alle angeblichen Angriffe verantwortlich ist oder ob einige der veröffentlichten Datensätze aus früheren Sicherheitsvorfällen neu verpackt wurden. Derzeit sind die bestätigten Vorfälle im Bildungs- und Polizeisektor Großbritanniens die einzigen, die von den betroffenen Organisationen öffentlich anerkannt wurden.