Het Information Commissioner’s Office (ICO) van het VK heeft het ACRO Criminal Records Office berispt na een onderzoek naar cyberbeveiligingszwaktes waardoor zeer gevoelige persoonlijke informatie mogelijk toegankelijk werd voor een aanvaller. Meer dan 10.000 mensen werden direct getroffen door het beveiligingsincident, terwijl ACRO uiteindelijk contact opnam met 84.048 personen die mogelijk getroffen konden zijn.
De ongeautoriseerde activiteiten vonden plaats tussen augustus 2022 en maart 2023 en betroffen de openbare website van ACRO en het Kentico-contentmanagementsysteem. Volgens de ICO kreeg de aanvaller toegang tot een omgeving met uitgebreide persoonlijke informatie die door de organisatie werd verwerkt als onderdeel van haar strafregistersdiensten.
De mogelijk blootgelegde dossiers waren bijzonder kwetsbaar. Ze omvatten namen, geboortedata, adressen, nationale verzekeringsnummers, paspoort- en rijbewijsgegevens, bankgegevens en biometrische gegevens. De getroffen omgeving bevatte ook strafregisters en speciale categorieën over onderwerpen als handicap, ras of etnische afkomst, seksuele geaardheid en geslachtsverandering.
Ondanks de toegang van de aanvaller hebben onderzoekers niet vastgesteld dat de informatie daadwerkelijk uit de systemen van ACRO is verwijderd. De ICO maakt daarom onderscheid tussen gegevens die tijdens de compromittering mogelijk toegankelijk waren en informatie die als geëxfiltreerd is bevestigd. ACRO besloot desondanks in april 2023 84.048 mensen te waarschuwen vanwege het potentiële risico.
De gevolgen van die onzekerheid waren aanzienlijk voor sommige ontvangers. ACRO ontving 35 klachten na haar meldingen, waaronder klachten van mensen die huiselijk geweld hadden meegemaakt en zich zorgen maakten over de mogelijkheid dat hun persoonlijke informatie was blootgesteld.
Het onderzoek van de ICO richtte zich op twee grote beveiligingsproblemen: onvoldoende patchbeheer en onvoldoende monitoring van beveiligingswaarschuwingen. ACRO vertrouwde op een managed service provider om delen van de technologische omgeving te onderhouden, waaronder updates van het besturingssysteem en maandelijks onderhoud. De verantwoordelijkheid voor het updaten van het Kentico CMS viel echter niet onder die regeling.
ACRO zelf hield het CMS niet in de gaten om te bepalen of beveiligingspatches geïnstalleerd moesten worden. De toezichthouder stelde vast dat de software meerdere bekende kwetsbaarheden bevatte gedurende de periode die relevant was voor de aanval, waardoor er een aanzienlijk gat ontstond in het beveiligingstoezicht van ACRO.
Het tweede probleem betrof beveiligingswaarschuwingen die werden gegenereerd maar niet goed werden afgehandeld. ACRO had Trend Micro-beveiligingssoftware geïmplementeerd die verdachte activiteiten en malware kon identificeren. Het systeem produceerde waarschuwingen, maar de ICO ontdekte dat deze waarschuwingen noch adequaat werden beoordeeld noch op actie werden gehouden.
Volgens de toezichthouder had het onderzoeken van die waarschuwingen op het moment dat ze verschenen ACRO waarschijnlijk in staat gesteld eerder te reageren en verdere kwaadaardige activiteiten te voorkomen. De fout was dus niet simpelweg het ontbreken van beveiligingstechnologie; beschermende software was al aanwezig, maar de organisatie had geen effectief proces om te reageren op wat zij detecteerde.
Eén beveiligingsmaatregel werkte inderdaad zoals bedoeld. ACRO had de getroffen omgeving gescheiden van zijn kerninfrastructuur voor politie. De ICO ontdekte dat deze scheiding de aanvaller verhinderde zich van de gecompromitteerde systemen te verplaatsen naar gevoeligere operationele politienetwerken, waardoor de mogelijke gevolgen van de inbraak werden beperkt.
De berisping van de toezichthouder vereist dat ACRO de organisatorische zwaktes die tijdens het onderzoek zijn vastgesteld, aanpakt. De ICO benadrukte het belang van het duidelijk toewijzen van verantwoordelijkheid voor het vinden, beoordelen en installeren van beveiligingsupdates, terwijl er wordt gewaarborgd dat beveiligingswaarschuwingen actief worden onderzocht in plaats van alleen worden verzameld.
De zaak toont uiteindelijk aan dat de inbreuk van ACRO niet uitsluitend werd toegeschreven aan geavanceerde aanvallerscapaciteiten. De bevindingen van de ICO identificeerden in plaats daarvan tekortkomingen in fundamentele beveiligingsprocessen, met name het beheer van bekende softwarekwetsbaarheden en de reactie op waarschuwingen die door bestaande verdedigingssystemen worden gegenereerd.