L’Information Commissioner’s Office (ICO) del Regno Unito ha rimproverato l’Ufficio dei Registri Penali dell’ACRO a seguito di un’indagine su debolezze della cybersecurity che hanno reso informazioni personali altamente sensibili potenzialmente accessibili a un attaccante. Più di 10.000 persone sono state direttamente colpite dall’incidente di sicurezza, mentre l’ACRO ha infine contattato 84.048 individui che potrebbero essere stati colpiti.
L’attività non autorizzata si è verificata tra agosto 2022 e marzo 2023 e ha coinvolto il sito pubblico dell’ACRO e il suo sistema di gestione dei contenuti Kentico. Secondo l’ICO, l’aggressore ha ottenuto accesso a un ambiente contenente ampie informazioni personali elaborate dall’organizzazione come parte dei suoi servizi di registrazione penale.
I documenti potenzialmente esposti erano particolarmente sensibili. Includevano nomi, date di nascita, indirizzi, numeri di assicurazione nazionale, informazioni su passaporti e patente di guida, dati bancari e dati biometrici. L’ambiente interessato conteneva anche registri penali e dati di categoria speciale riguardanti aree come disabilità, razza o origine etnica, orientamento sessuale e riassegnazione di genere.
Nonostante l’accesso dell’aggressore, gli investigatori non hanno stabilito che le informazioni siano state effettivamente rimosse dai sistemi di ACRO. L’ICO distingue quindi tra dati potenzialmente accessibili durante la compromessa e informazioni confermate come esfiltrate. Tuttavia, ACRO ha deciso nell’aprile 2023 di notificare 84.048 persone a causa del rischio potenziale.
Le conseguenze di quell’incertezza sono state significative per alcuni destinatari. ACRO ha ricevuto 35 reclami dopo le notifiche, inclusi reclami di persone che avevano subito violenza domestica e erano preoccupate per la possibilità che le loro informazioni personali fossero state esposte.
L’indagine dell’ICO si concentrò su due principali problemi di sicurezza: una gestione inadeguata delle patch e un monitoraggio insufficiente degli avvisi di sicurezza. ACRO si affidava a un fornitore di servizi gestiti per mantenere parti del suo ambiente tecnologico, inclusi gli aggiornamenti del sistema operativo e la manutenzione mensile. Tuttavia, la responsabilità di aggiornare il CMS Kentico non era coperta da tale accordo.
ACRO stesso non monitorava il CMS per determinare se fosse necessario installare patch di sicurezza. L’ente regolatore ha rilevato che il software conteneva molteplici vulnerabilità note durante il periodo rilevante per l’attacco, lasciando una significativa lacuna nella supervisione della sicurezza di ACRO.
Il secondo problema riguardava avvisi di sicurezza generati ma non gestiti correttamente. ACRO aveva implementato il software di sicurezza Trend Micro in grado di identificare attività sospette e malware. Il sistema produceva avvisi, ma l’ICO rilevò che tali avvisi non venivano né adeguatamente esaminati né gestiti.
Secondo l’ente regolatore, indagare su quegli avvisi quando sono apparsi avrebbe probabilmente permesso all’ACRO di rispondere prima e prevenire ulteriori attività dannose. Il guasto non era quindi semplicemente l’assenza di tecnologia di sicurezza; il software protettivo era già presente, ma l’organizzazione mancava di un processo efficace per rispondere a ciò che rilevava.
Una misura di sicurezza ha funzionato come previsto. L’ACRO aveva segmentato l’ambiente interessato dalla sua infrastruttura di polizia principale. L’ICO ha rilevato che questa separazione impediva all’attaccante di passare dai sistemi compromessi a reti operative di polizia più sensibili, limitando le potenziali conseguenze dell’intrusione.
Il rimprovero dell’autorità richiede all’ACRO di affrontare le debolezze organizzative identificate durante l’indagine. L’ICO ha sottolineato l’importanza di assegnare chiaramente la responsabilità di trovare, valutare e installare aggiornamenti di sicurezza, garantendo al contempo che gli avvisi di sicurezza vengano attivamente investigati e non semplicemente raccolti.
Il caso dimostra in definitiva che la violazione dell’ACRO non è stata attribuita esclusivamente a capacità sofisticate degli attaccanti. Le conclusioni dell’ICO hanno invece identificato carenze nei processi fondamentali di sicurezza, in particolare nella gestione delle vulnerabilità software note e nella risposta agli allerti generati dai sistemi difensivi esistenti.