Un grupo de cibercrimen hasta entonces desconocido que se hace llamar ExfilSquad ha surgido tras denunciar ataques contra 15 organizaciones en los sectores público y privado, incluyendo el Departamento de Educación (DfE) del Reino Unido, la Base de Datos Legal Nacional de la Policía (PNLD) y varias empresas internacionales reconocidas. Hasta ahora, solo los incidentes que involucran al DfE y al PNLD han sido reconocidos por las organizaciones afectadas, mientras que las reclamaciones restantes del grupo no han sido verificadas de forma independiente.
El Departamento de Educación confirmó que recientemente respondió a un incidente de ciberseguridad y dijo que actuó rápidamente para contener la brecha. Según el departamento, la información expuesta se limita a datos de contacto de atención al cliente asociados a individuos y organizaciones, añadiendo que actualmente no hay pruebas de que se hayan accedido a otras categorías de información. El departamento ha notificado a la Oficina del Comisionado de Información y está colaborando con el Centro Nacional de Ciberseguridad y la Agencia Nacional contra el Crimen mientras continúa la investigación.
La versión de los hechos de ExfilSquad difiere significativamente. El grupo afirma haber copiado aproximadamente 600.000 registros del Portal de Ayuda junto con unos 7.000 registros vinculados al Turing Scheme del Reino Unido, que apoya intercambios educativos internacionales. Los atacantes alegan que los datos incluyen nombres, direcciones de correo electrónico, números de teléfono y cargos pertenecientes a padres y personal educativo. Esas afirmaciones no han sido confirmadas por el DfE.
Aunque el departamento sostiene que la información comprometida fue limitada, los especialistas en ciberseguridad advierten que la información de contacto por sí sola puede ser valiosa para los atacantes. Frank van Oeveren, director asociado de Inteligencia Global de Amenazas en NCC Group, afirmó que esta información puede utilizarse para construir campañas convincentes de phishing, ataques de compromiso por correo electrónico empresarial y otras formas de ingeniería social. También señaló que las organizaciones educativas siguen siendo objetivos frecuentes porque gestionan grandes cantidades de datos personales mientras operan a menudo entornos tecnológicos complejos.
El grupo también ha reivindicado la responsabilidad de vulnerar la Base de Datos Nacional Jurídica de la Policía, un sistema de referencia legal utilizado por las fuerzas policiales en Inglaterra y Gales. Según ExfilSquad, obtuvo aproximadamente 1,9 GB de datos que contenían alrededor de 135.000 registros, incluyendo nombres, direcciones de correo electrónico de trabajo y afiliaciones a la policía. El PNLD ha confirmado que se extrajeron datos de sus sistemas, pero afirmó que el incidente no reveló información confidencial relacionada con víctimas, testigos o infractores. Los funcionarios también reconocieron que las credenciales utilizadas para acceder a la plataforma se encuentran entre los datos comprometidos, aunque afirman que el riesgo para los sistemas más sensibles sigue siendo bajo.
Más allá de los dos incidentes confirmados, ExfilSquad ha listado varias organizaciones adicionales en su sitio de filtraciones, incluyendo Microsoft, Frontier Airlines, Allstate, la ciudad de Houston y la ciudad de Atlanta. El grupo alega haber robado grandes volúmenes de información interna a varias de esas organizaciones, pero ninguna de las empresas ha confirmado las supuestas brechas. Investigadores de seguridad también han sugerido que algunos de los datos promovidos por ExfilSquad podrían proceder de incidentes previamente reportados en lugar de sistemas recién comprometidos.
Con múltiples investigaciones aún en curso, sigue sin estar claro si ExfilSquad es responsable de todos los ataques que afirma o si algunos de los conjuntos de datos publicados han sido reempaquetados a partir de brechas anteriores. Por ahora, los incidentes confirmados que involucran a los sectores de educación y policía del Reino Unido son los únicos ataques reconocidos públicamente por las organizaciones afectadas.