La Oficina del Comisionado de Información (ICO) del Reino Unido ha reprendido a la Oficina de Registros Penales de la ACRO tras una investigación sobre debilidades en ciberseguridad que dejó información personal altamente sensible potencialmente accesible para un atacante. Más de 10.000 personas se vieron directamente afectadas por el incidente de seguridad, mientras que ACRO finalmente contactó con 84.048 personas que podrían haberse visto afectadas.
La actividad no autorizada ocurrió entre agosto de 2022 y marzo de 2023 e involucró el sitio web público de ACRO y su sistema de gestión de contenidos Kentico. Según la ICO, el atacante accedió a un entorno que contiene una extensa información personal procesada por la organización como parte de sus servicios de antecedentes penales.
Los registros potencialmente expuestos eran especialmente sensibles. Incluían nombres, fechas de nacimiento, direcciones, números de la Seguridad Nacional, información de pasaportes y permisos de conducir, datos bancarios e información biométrica. El entorno afectado también contenía registros de delitos penales y datos de categorías especiales que involucraban áreas como discapacidad, raza u origen étnico, orientación sexual y reasignación de género.
A pesar del acceso del atacante, los investigadores no han demostrado que la información fuera realmente eliminada de los sistemas de ACRO. Por tanto, la ICO distingue entre datos potencialmente accesibles durante el compromiso y información confirmada como exfiltrada. No obstante, ACRO decidió en abril de 2023 notificar a 84.048 personas debido al riesgo potencial.
Las consecuencias de esa incertidumbre fueron significativas para algunos destinatarios. ACRO recibió 35 denuncias tras sus notificaciones, incluidas quejas de personas que habían sufrido violencia doméstica y estaban preocupadas por la posibilidad de que su información personal hubiera sido expuesta.
La investigación de la ICO se centró en dos problemas principales de seguridad: una gestión inadecuada de parches y una supervisión insuficiente de las advertencias de seguridad. ACRO dependía de un proveedor de servicios gestionados para mantener partes de su entorno tecnológico, incluyendo actualizaciones del sistema operativo y mantenimiento mensual. Sin embargo, la responsabilidad de actualizar el CMS de Kentico no estaba cubierta por ese acuerdo.
El propio ACRO no estaba monitorizando el CMS para determinar si era necesario instalar parches de seguridad. El regulador descubrió que el software contenía múltiples vulnerabilidades conocidas durante el periodo relevante para el ataque, dejando un vacío significativo en la supervisión de seguridad de ACRO.
El segundo problema implicaba alertas de seguridad que se generaban pero no se gestionaban adecuadamente. ACRO había desplegado el software de seguridad Trend Micro capaz de identificar actividades sospechosas y malware. El sistema producía alertas, pero la ICO constató que esas advertencias no se revisaban adecuadamente ni se actuaba en consecuencia.
Según el regulador, investigar esas alertas cuando aparecieron probablemente habría permitido a ACRO responder antes y prevenir más actividades maliciosas. Por tanto, el fallo no fue simplemente la ausencia de tecnología de seguridad; el software de protección ya estaba presente, pero la organización carecía de un proceso eficaz para responder a lo que detectaba.
Una medida de seguridad funcionó como se esperaba. ACRO había segmentado el entorno afectado de su infraestructura policial central. La ICO determinó que esta separación impedía que el atacante pasara de los sistemas comprometidos a redes policiales operativas más sensibles, limitando las posibles consecuencias de la intrusión.
La reprimenda del regulador exige que ACRO aborde las debilidades organizativas identificadas durante la investigación. La ICO enfatizó la importancia de asignar claramente la responsabilidad de encontrar, evaluar e instalar actualizaciones de seguridad, asegurando al mismo tiempo que las advertencias de seguridad se investiguen activamente y no simplemente se recopilen.
El caso demuestra en última instancia que la brecha de ACRO no se atribuyó únicamente a capacidades sofisticadas de los atacantes. Las conclusiones de la ICO identificaron en cambio deficiencias en procesos fundamentales de seguridad, particularmente en la gestión de vulnerabilidades conocidas de software y la respuesta a alertas generadas por sistemas defensivos existentes.