O Escritório do Comissário de Informação (ICO) do Reino Unido repreendeu o Escritório de Registros Criminais da ACRO após uma investigação sobre fragilidades de cibersegurança que deixaram informações pessoais altamente sensíveis potencialmente acessíveis a um atacante. Mais de 10.000 pessoas foram diretamente afetadas pelo incidente de segurança, enquanto a ACRO acabou entrando em contato com 84.048 indivíduos que poderiam ter sido potencialmente afetados.
A atividade não autorizada ocorreu entre agosto de 2022 e março de 2023 e envolveu o site público da ACRO e seu sistema de gerenciamento de conteúdo Kentico. Segundo a ICO, o atacante teve acesso a um ambiente contendo informações pessoais extensas processadas pela organização como parte de seus serviços de registros criminais.
Os registros potencialmente expostos eram particularmente sensíveis. Eles incluíam nomes, datas de nascimento, endereços, números de Seguro Nacional, informações de passaporte e carteira de motorista, dados bancários e dados biométricos. O ambiente afetado também continha registros de infrações criminais e dados de categorias especiais envolvendo áreas como deficiência, raça ou origem étnica, orientação sexual e redesignação de gênero.
Apesar do acesso do atacante, os investigadores não estabeleceram que as informações foram realmente removidas dos sistemas da ACRO. Portanto, a ICO distingue entre dados potencialmente acessíveis durante o comprometimento e informações confirmadas como exfiltradas. Mesmo assim, a ACRO decidiu em abril de 2023 notificar 84.048 pessoas devido ao risco potencial.
As consequências dessa incerteza foram significativas para alguns destinatários. A ACRO recebeu 35 reclamações após suas notificações, incluindo reclamações de pessoas que haviam sofrido violência doméstica e estavam preocupadas com a possibilidade de suas informações pessoais terem sido expostas.
A investigação da ICO concentrou-se em dois grandes problemas de segurança: gerenciamento inadequado de patches e monitoramento insuficiente dos avisos de segurança. A ACRO dependia de um provedor de serviços gerenciados para manter partes de seu ambiente tecnológico, incluindo atualizações do sistema operacional e manutenção mensal. No entanto, a responsabilidade por atualizar o CMS da Kentico não era coberta por esse acordo.
A própria ACRO não monitorava o CMS para determinar se patches de segurança precisavam ser instalados. O regulador constatou que o software continha múltiplas vulnerabilidades conhecidas durante o período relevante para o ataque, deixando uma lacuna significativa na supervisão de segurança da ACRO.
O segundo problema envolvia alertas de segurança que eram gerados, mas não eram devidamente tratados. A ACRO havia implantado o software de segurança Trend Micro capaz de identificar atividades suspeitas e malwares. O sistema produzia alertas, mas a ICO constatou que esses avisos não eram adequadamente revisados nem agidos sobre eles.
Segundo o regulador, investigar esses alertas quando surgiram provavelmente poderia ter permitido que a ACRO respondesse mais cedo e evitasse atividades maliciosas adicionais. A falha, portanto, não foi simplesmente a ausência de tecnologia de segurança; o software de proteção já estava presente, mas a organização carecia de um processo eficaz para responder ao que detectava.
Uma medida de segurança funcionou como esperado. A ACRO havia segmentado o ambiente afetado de sua infraestrutura principal de policiamento. A ICO constatou que essa separação impedia que o atacante se movesse dos sistemas comprometidos para redes operacionais de policiamento mais sensíveis, limitando as possíveis consequências da invasão.
A repreensão do regulador exige que a ACRO aborde as fraquezas organizacionais identificadas durante a investigação. A ICO enfatizou a importância de atribuir claramente a responsabilidade de encontrar, avaliar e instalar atualizações de segurança, ao mesmo tempo em que garante que os avisos de segurança sejam investigados ativamente, e não apenas coletados.
O caso demonstra, em última análise, que a violação da ACRO não foi atribuída apenas a capacidades sofisticadas de atacantes. As conclusões da ICO, em vez disso, identificaram deficiências nos processos fundamentais de segurança, especialmente no gerenciamento de vulnerabilidades de software conhecidas e na resposta a alertas gerados por sistemas defensivos existentes.