Un groupe de cybercriminalité jusque-là inconnu, se faisant appeler ExfilSquad, a émergé en revendiquant des attaques contre 15 organisations des secteurs public et privé, dont le Département de l’Éducation du Royaume-Uni (DfE), la Police National Legal Database (PNLD) et plusieurs entreprises internationales reconnues. Jusqu’à présent, seuls les incidents impliquant le DfE et le PNLD ont été reconnus par les organisations concernées, tandis que les autres allégations du groupe n’ont pas été vérifiées de manière indépendante.
Le DfE a confirmé avoir récemment répondu à un incident de cybersécurité et a indiqué avoir agi rapidement pour contenir la fuite. Selon le département, les informations exposées se limitent aux coordonnées du service client associées à des particuliers et organisations, ajoutant qu’il n’existe actuellement aucune preuve que d’autres catégories d’informations aient été consultées. Le département a informé le Bureau du Commissaire à l’Information et travaille avec le Centre national de cybersécurité et l’Agence nationale contre le crime au fur et à mesure que l’enquête se poursuit.
La version des événements d’ExfilSquad diffère considérablement. Le groupe affirme avoir copié environ 600 000 enregistrements du Portail d’Aide ainsi qu’environ 7 000 enregistrements liés au Turing Scheme britannique, qui soutient les échanges éducatifs internationaux. Les attaquants allèguent que ces données incluent des noms, adresses e-mail, numéros de téléphone et titres de poste appartenant aux parents et au personnel éducatif. Ces affirmations n’ont pas été confirmées par le DfE.
Bien que le département affirme que les informations compromises étaient limitées, les spécialistes de la cybersécurité avertissent que les seules informations de contact peuvent être précieuses pour les attaquants. Frank van Oeveren, directeur associé du renseignement mondial sur les menaces chez NCC Group, a déclaré que de telles informations peuvent être utilisées pour construire des campagnes de phishing convaincantes, des attaques de compromission par email d’entreprise et d’autres formes d’ingénierie sociale. Il a également noté que les organisations éducatives restent des cibles fréquentes car elles gèrent de grandes quantités de données personnelles tout en opérant souvent dans des environnements technologiques complexes.
Le groupe a également revendiqué la responsabilité de la violation de la Police National Legal Database, un système de référence juridique utilisé par les forces de police en Angleterre et au Pays de Galles. Selon ExfilSquad, il a obtenu environ 1,9 Go de données contenant environ 135 000 enregistrements, incluant des noms, des adresses e-mail professionnelles et des affiliations aux forces de police. Le PNLD a confirmé que des données avaient été prélevées dans ses systèmes, mais a indiqué que l’incident n’avait pas révélé d’informations confidentielles concernant les victimes, témoins ou délinquants. Les responsables ont également reconnu que les identifiants utilisés pour accéder à la plateforme faisaient partie des données compromises, tout en affirmant estimer que le risque pour les systèmes plus sensibles reste faible.
Au-delà des deux incidents confirmés, ExfilSquad a listé plusieurs autres organisations sur son site de fuites, notamment Microsoft, Frontier Airlines, Allstate, la ville de Houston et la ville d’Atlanta. Le groupe affirme avoir volé de grandes quantités d’informations internes auprès de plusieurs de ces organisations, mais aucune des entreprises n’a confirmé les violations alléguées. Les chercheurs en sécurité ont également suggéré que certaines données promues par ExfilSquad pourraient provenir d’incidents précédemment signalés plutôt que de systèmes récemment compromis.
Avec de nombreuses enquêtes encore en cours, il reste incertain si ExfilSquad est responsable de toutes les attaques qu’il affirme ou si certains ensembles de données publiés ont été reconditionnés à partir de violations antérieures. Pour l’instant, les incidents confirmés impliquant les secteurs de l’éducation et de la police au Royaume-Uni sont les seules attaques publiquement reconnues par les organisations concernées.