Le Bureau du Commissaire à l’Information (ICO) du Royaume-Uni a réprimandé le Bureau des dossiers criminels de l’ACRO à la suite d’une enquête sur des faiblesses en cybersécurité qui ont rendu des informations personnelles très sensibles potentiellement accessibles à un attaquant. Plus de 10 000 personnes ont été directement touchées par l’incident de sécurité, tandis que l’ACRO a finalement contacté 84 048 personnes qui auraient potentiellement pu être impactées.
L’activité non autorisée a eu lieu entre août 2022 et mars 2023 et concernait le site public de l’ACRO ainsi que son système de gestion de contenu Kentico. Selon l’ICO, l’attaquant a eu accès à un environnement contenant de nombreuses informations personnelles traitées par l’organisation dans le cadre de ses services de casier judiciaire.
Les dossiers potentiellement exposés étaient particulièrement sensibles. Ils comprenaient des noms, dates de naissance, adresses, numéros d’assurance nationale, informations sur les passeports et permis de conduire, les informations bancaires et les données biométriques. L’environnement concerné contenait également des dossiers d’infractions pénales et des données de catégorie spéciale portant sur des domaines tels que le handicap, la race ou l’origine ethnique, l’orientation sexuelle et la réaffectation de genre.
Malgré l’accès de l’attaquant, les enquêteurs n’ont pas établi que les informations ont effectivement été retirées des systèmes de l’ACRO. L’ICO distingue donc entre les données potentiellement accessibles lors de la compromission et les informations confirmées comme exfiltrées. L’ACRO a néanmoins décidé en avril 2023 d’en informer 84 048 personnes en raison du risque potentiel.
Les conséquences de cette incertitude ont été significatives pour certains bénéficiaires. L’ACRO a reçu 35 plaintes après ses notifications, y compris des plaintes de personnes ayant subi des violences domestiques et inquiètes de la possibilité que leurs informations personnelles aient été exposées.
L’enquête de l’ICO s’est concentrée sur deux problèmes majeurs de sécurité : une gestion inadéquate des correctifs et une surveillance insuffisante des avertissements de sécurité. L’ACRO s’appuyait sur un fournisseur de services managés pour maintenir certaines parties de son environnement technologique, y compris les mises à jour du système d’exploitation et la maintenance mensuelle. Cependant, la responsabilité de la mise à jour du CMS de Kentico n’était pas couverte par cet arrangement.
ACRO lui-même ne surveillait pas le CMS pour déterminer si des correctifs de sécurité devaient être installés. Le régulateur a constaté que le logiciel contenait plusieurs vulnérabilités connues durant la période liée à l’attaque, laissant un vide important dans la surveillance de sécurité de l’ACRO.
Le second problème concernait des alertes de sécurité générées mais non correctement gérées. L’ACRO avait déployé le logiciel de sécurité Trend Micro capable d’identifier des activités suspectes et des logiciels malveillants. Le système produisait des alertes, mais l’ICO constata que ces avertissements n’étaient ni correctement examinés ni mis en œuvre.
Selon le régulateur, enquêter sur ces alertes dès leur apparition aurait probablement permis à l’ACRO de réagir plus tôt et d’éviter toute activité malveillante supplémentaire. L’échec ne résidait donc pas simplement en l’absence de technologie de sécurité ; un logiciel de protection était déjà présent, mais l’organisation manquait d’un processus efficace pour répondre à ce qu’elle détectait.
Une mesure de sécurité a fonctionné comme prévu. L’ACRO avait segmenté l’environnement affecté de son infrastructure policière centrale. L’ICO a constaté que cette séparation empêchait l’attaquant de passer des systèmes compromis vers des réseaux opérationnels plus sensibles, limitant ainsi les conséquences potentielles de l’intrusion.
La réprimande du régulateur exige que l’ACRO corrige les faiblesses organisationnelles identifiées lors de l’enquête. L’ICO a souligné l’importance d’attribuer clairement la responsabilité de trouver, d’évaluer et d’installer les mises à jour de sécurité, tout en veillant à ce que les avertissements de sécurité soient activement enquêtés plutôt que simplement collectés.
L’affaire démontre finalement que la faille de l’ACRO n’a pas été attribuée uniquement aux capacités sophistiquées des attaquants. Les conclusions de l’ICO ont plutôt identifié des lacunes dans les processus de sécurité fondamentaux, en particulier la gestion des vulnérabilités logicielles connues et la réponse aux alertes générées par les systèmes défensifs existants.