Birleşik Krallık Bilgi Komiseri Ofisi (ICO), siber güvenlik zayıflıklarıyla ilgili bir soruşturmanın ardından ACRO Ceza Kayıtları Ofisi’ni azarladı; bu durum son derece hassas kişisel bilgilerin bir saldırgana ulaşabileceği potansiyel olarak ortaya çıkmasına neden oldu. Güvenlik olayından doğrudan 10.000’den fazla kişi etkilendi, ACRO ise nihayetinde etkilenmiş olabilecek 84.048 kişiyle iletişime geçti.
İzkisiz faaliyet, Ağustos 2022 ile Mart 2023 arasında gerçekleşti ve ACRO’nun halka açık web sitesi ile Kentico içerik yönetim sistemini içeriyordu. ICO’ya göre, saldırgan, örgütün sabıka kayıtları hizmetleri kapsamında işlenen kapsamlı kişisel bilgilerin bulunduğu bir ortama erişim sağladı.
Potansiyel olarak açığa çıkan kayıtlar özellikle hassastı. Bunlar isimler, doğum tarihleri, adresler, Ulusal Sigorta numaraları, pasaport ve ehliyet bilgileri, banka bilgileri ve biyometrik bilgileri içeriyordu. Etkilenen ortamda ayrıca ceza suçu kayıtları ve engellilik, ırk veya etnik köken, cinsel yönelim ve cinsiyet yeniden ataması gibi alanlara dair özel kategori verileri bulunuyordu.
Saldırganın erişimine rağmen, soruşturmacılar bilginin ACRO sistemlerinden gerçekten çıkarıldığını kanıtlamadı. ICO, bu nedenle tehlike sırasında potansiyel olarak erişilebilen verilerle sızdırılmış olduğu doğrulanan bilgileri ayırt eder. Buna rağmen, ACRO, potansiyel risk nedeniyle Nisan 2023’te 84.048 kişiyi bilgilendirmeye karar verdi.
Bu belirsizliğin sonuçları bazı alıcılar için önemli oldu. ACRO, bildirimlerinin ardından 35 şikayet aldı; bunlar arasında aile içi şiddet yaşamış ve kişisel bilgilerinin açığa çıkmış olma ihtimalinden endişe eden kişilerden gelen şikayetler de vardı.
ICO’nun soruşturması iki büyük güvenlik sorununa odaklandı: yetersiz yama yönetimi ve güvenlik uyarılarının yetersiz izlenmesi. ACRO, işletim sistemi güncellemeleri ve aylık bakım dahil olmak üzere teknoloji ortamının bazı bölümlerini korumak için yönetilen bir hizmet sağlayıcısına güveniyordu. Ancak, Kentico CMS’nin güncellenmesi sorumluluğu bu düzenleme kapsamında kapsamamıyordu.
ACRO, güvenlik yamalarının kurulması gerekip gerekmediğini belirlemek için CMS’yi izlemedi. Düzenleyici, yazılımın saldırı döneminde bilinen birden fazla güvenlik açığı içerdiğini ve bunun ACRO’nun güvenlik denetiminde önemli bir boşluk bıraktığını tespit etti.
İkinci sorun, oluşturulan ancak doğru şekilde ele alınmayan güvenlik uyarılarıyla ilgiliydi. ACRO, şüpheli aktivite ve kötü amaçlı yazılımı tespit edebilen Trend Micro güvenlik yazılımı yayımlamıştı. Sistem uyarılar üretti, ancak ICO bu uyarıların ne yeterince incelendiğini ne de uygulandığını tespit etti.
Düzenleyiciye göre, bu uyarıların ortaya çıktığında soruşturulması ACRO’nun daha erken yanıt vermesini ve ek kötü niyetli faaliyetleri önlemesini sağlayabilirdi. Dolayısıyla başarısızlık sadece güvenlik teknolojisinin yokluğu değildi; koruyucu yazılım zaten mevcuttu, ancak organizasyonun tespit ettiklerine yanıt vermek için etkili bir süreci yoktu.
Bir güvenlik önlemi planlandığı gibi çalıştı. ACRO, etkilenen ortamı temel polis altyapısından ayırmıştı. ICO, bu ayrımın, saldırganın tehlikeye giren sistemlerden daha hassas operasyonel polis ağlarına geçişini engellediğini ve müdahalenin potansiyel sonuçlarını sınırladığını tespit etti.
Düzenleyicinin uyarısı, ACRO’nun soruşturma sırasında tespit edilen örgütsel zayıflıkları ele almasını gerektiriyor. ICO, güvenlik güncellemelerini bulma, değerlendirme ve kurulum sorumluluğunun net bir şekilde atanmasının ve güvenlik uyarılarının sadece toplanmak yerine aktif olarak araştırılmasının önemini vurguladı.
Dava, ACRO’nun ihlalinin yalnızca gelişmiş saldırgan yeteneklerine bağlanmadığını ortaya koymaktadır. ICO’nun bulguları, özellikle bilinen yazılım zafiyetlerinin yönetimi ve mevcut savunma sistemleri tarafından üretilen uyarılara yanıt veren temel güvenlik süreçlerindeki eksiklikleri ortaya koymuştur.