Una revisione dell'attacco informatico alla UK Legal Aid Agency ha ampliato il perimetro noto dei dati sottratti. Sono stati individuati circa 250.000 record creati prima del 2007, e si è confermato che il record verificato più antico risale al 1978.
La violazione è avvenuta nell'aprile 2025 ed è stata resa pubblica nel maggio 2025. In quel momento l'agenzia aveva dichiarato che gli attaccanti avevano avuto accesso a dati personali associati alle persone che avevano presentato domanda di gratuito patrocinio tramite il servizio online dal 2010, e che avevano esfiltrato tali informazioni. La valutazione più recente estende il periodo principale dei dati fino al gennaio 2007 e individua record più datati al di fuori di quell'intervallo.
I risultati non stabiliscono quante persone siano coinvolte. Un record non corrisponde necessariamente a una persona distinta, e il LAA ha avvertito che la presenza di materiale antecedente al 2007 non significa che tutte le persone entrate in contatto con il gratuito patrocinio o con il sistema giudiziario prima di quell'anno siano state coinvolte.
La revisione individua un arco di dati molto più lungo
Secondo il rapporto di SecurityWeek sull'aggiornamento del LAA, l'ambiente compromesso conteneva grandi quantità di informazioni frammentate, incomplete o non strutturate, distribuite su più sistemi. Questo ha reso più difficile per gli investigatori stabilire con precisione che cosa fosse stato acceduto e copiato.
Il dataset principale comprende domande, richieste di rimborso e pagamenti presentati dal gennaio 2007 al 16 maggio 2025, oltre ai casi rimasti aperti in quel periodo, secondo quanto riportato da The Record.
Gli investigatori hanno inoltre individuato circa 250.000 record più datati. Il LAA ha dichiarato che la maggior parte risale agli anni Novanta e Duemila, mentre solo una «quota minima» precede il 1990. Il record più antico verificato nella revisione è del 1978.
Una parte separata del materiale compromesso riguarda un numero relativamente ridotto di autori di reato seguiti dai servizi di probation tra il 2010 e il 2017. I campi segnalati comprendono nomi, date di nascita, nazionalità e numeri di riferimento dei casi.
Coinvolte informazioni finanziarie, di identità e sui procedimenti
I dati attribuiti ai richiedenti e ai beneficiari del gratuito patrocinio comprendono:
- nomi e date di nascita;
- numeri di National Insurance;
- numeri di riferimento dei casi;
- date di inizio e di fine dei casi;
- tipo di gratuito patrocinio e codici di monitoraggio delle pari opportunità;
- codici postali, indirizzi e numeri di telefono;
- costi e IVA richiesti o pagati;
- risposte inserite nel Client and Cost Management System;
- valutazioni finanziarie riguardanti imputati e rispettivi partner;
- informazioni su conti bancari e proprietà;
- in alcuni casi, dati parzialmente oscurati delle carte di pagamento.
I sistemi interessati contenevano anche informazioni sui professionisti del gratuito patrocinio, tra cui contratti, piani di lavoro, sedi degli uffici, dati di pagamento e credenziali degli account utente.
Altri record potrebbero identificare giudici, solicitor, avvocati, pubblici ministeri e difensori, cronisti giudiziari, parti in alcuni procedimenti civili e gestori dei punti di pagamento. La presenza di queste categorie significa che le conseguenze non si limitano alle persone che hanno presentato direttamente domanda di gratuito patrocinio.
Alcune associazioni benefiche hanno espresso particolare preoccupazione per la possibilità che il materiale sottratto contenga informazioni sensibili su donne e ragazze sopravvissute a violenza domestica. Si tratta di un rischio individuato dalle associazioni, non di un riscontro confermato riguardo a persone specifiche. Tra le categorie potenzialmente coinvolte nella comunicazione di maggio 2025 figuravano anche informazioni sui precedenti penali.
Gli attaccanti hanno sfruttato falle in più sistemi del LAA
Sarah Sackman, ministra per la Giustizia, ha riferito al Parlamento che i criminali hanno sfruttato vulnerabilità nei sistemi informatici del LAA, sono arrivati ai sistemi che contenevano dati personali e hanno poi copiato e rimosso parte di tali informazioni.
La descrizione indica che l'intrusione ha interessato più sistemi, non un singolo database. Il volume e la struttura disomogenea delle informazioni hanno richiesto l'intervento di squadre tecniche e di specialisti in dati per ricostruire che cosa avessero ottenuto gli attaccanti.
Gli attaccanti hanno sostenuto di possedere informazioni su più di 2 milioni di persone e hanno minacciato di divulgarle se non fossero stati pagati. Quella cifra resta un'affermazione degli attaccanti, non un conteggio verificato delle persone coinvolte. Il governo del Regno Unito mantiene la politica di non pagare i riscatti.
Il LAA afferma di non aver trovato prove che le informazioni sottratte siano state rese pubbliche o vendute. Sackman ha detto analogamente al Parlamento che non c'era alcun indizio che fossero state pubblicate o condivise. Si tratta di un cambiamento rispetto alla posizione espressa da un portavoce del ministero nel maggio 2025, secondo cui la pubblicazione era una questione di «quando, non se».
Rafforzati i controlli di autenticazione e sui sistemi legacy
Il Ministero della Giustizia ha rafforzato i controlli di autenticazione e di accesso, ha ampliato il monitoraggio della sicurezza e ha avviato la dismissione o l'isolamento dei sistemi legacy a rischio più elevato. Collabora inoltre con la National Crime Agency, il National Cyber Security Centre e l'Information Commissioner's Office.
Per le persone i cui dati di identità, finanziari o sulle pratiche potrebbero essere coinvolti, la combinazione di numeri di National Insurance, recapiti e riferimenti dei casi potrebbe rendere credibili messaggi ingannevoli. Le comunicazioni non richieste che citano dettagli reali di pratiche vanno quindi verificate attraverso i canali di contatto già noti, e non tramite link o numeri di telefono presenti nel messaggio.
I professionisti le cui credenziali potrebbero essere state archiviate nei sistemi interessati dovrebbero evitare di riutilizzare le stesse password su altri servizi e cambiare le credenziali eventualmente riutilizzate. Chi ha subito il coinvolgimento di dati bancari o di carte parzialmente oscurate dovrebbe inoltre prestare attenzione a transazioni inattese e richieste sospette che fanno riferimento a pagamenti o pratiche di gratuito patrocinio.
