Tres intrusiones en la oficina británica de antecedentes penales pasaron desapercibidas durante casi dos años

La Information Commissioner’s Office (ICO), el regulador británico de protección de datos, ha censurado a ACRO Criminal Records Office tras identificar tres intrusiones en sus sistemas durante un periodo de casi dos años. Los incidentes, registrados entre julio de 2021 y junio de 2023, expusieron potencialmente datos personales de miles de personas, entre ellas víctimas de violencia doméstica.

ACRO es la unidad policial nacional que gestiona distintos datos sensibles almacenados en el Police National Computer. Según el documento de reprimenda del ICO, los atacantes comprometieron en las tres ocasiones el portal público de atención al cliente de la organización, desarrollado sobre el sistema de gestión de contenidos Kentico.

El portal utilizaba desde septiembre de 2019 la misma versión de Kentico, pese a que contenía varias vulnerabilidades conocidas y documentadas públicamente. Aunque el fabricante había publicado correcciones de seguridad, ACRO no aplicó ninguna. La organización, su proveedor de servicios gestionados y el proveedor encargado del desarrollo web no habían definido quién debía supervisar la publicación de parches ni ejecutarla.

El regulador también señaló deficiencias en la gestión de alertas. Durante el periodo de los ataques, la solución de ciberseguridad Trend Micro generó numerosas advertencias, incluidas cuatro detecciones relacionadas con intentos de instalar Mimikatz, una herramienta utilizada para obtener credenciales. Todas fueron ignoradas. ACRO reconoció ante el ICO que no podía determinar qué proceso de negocio existía para evaluar o gestionar las alertas, ni qué funciones eran responsables de revisarlas y escalarlas.

El ICO concluyó que una respuesta adecuada a esas señales podría haber evitado nuevas actividades maliciosas. La falta de registros suficientes impidió además confirmar si los atacantes llegaron a extraer datos del entorno comprometido.

La intrusión más grave, identificada como Group A, permitió mantener acceso persistente al sitio web y al sistema de gestión de contenidos durante aproximadamente siete meses, entre agosto de 2022 y marzo de 2023. En febrero de 2023, el atacante preparó para su posible exfiltración información sensible correspondiente a algo menos de 11.000 personas.

El informe forense encargado por ACRO agrupó las evidencias en tres incidentes denominados Group A, Group B y Group C. El documento no aclara si esas categorías representan a distintos actores o varias fases de una misma operación. Uno de los otros incidentes incluyó una inyección SQL que expuso credenciales de empleados, aunque el ICO no detalló cuándo tuvo lugar dentro del periodo analizado.

En abril de 2023, después de que el Evening Standard preguntara por la situación, ACRO reconoció que estaba respondiendo a un incidente de ciberseguridad, tras haber comunicado inicialmente que su sitio web estaba fuera de servicio por tareas de mantenimiento. El grupo de ransomware Medusa reivindicó posteriormente la operación, pero nunca publicó datos en su sitio de filtraciones. El origen de la reivindicación no ha podido confirmarse.

Como medida de precaución, ACRO notificó en abril de 2023 a más de 84.000 personas que habían presentado solicitudes en la base de datos durante el periodo de riesgo. Más de 40 personas presentaron reclamaciones formales, aunque el ICO indicó que no las investigó.

El regulador atribuyó las deficiencias a ACRO como institución y no señaló a personas concretas ni a responsables identificados por cargo. La segmentación de red evitó que el atacante avanzara desde el entorno web comprometido hasta el sistema policial central, un factor que el ICO consideró atenuante. Por ello, la medida adoptada fue una reprimenda, sin sanción económica.

ACRO ha retirado y desmantelado la infraestructura comprometida, ha puesto en marcha un nuevo sistema de gestión de información y eventos de seguridad (SIEM) y ha sustituido el sitio web anterior. Un portavoz afirmó que la organización había reforzado sus sistemas y salvaguardas, y que el nuevo sitio había sido sometido a pruebas rigurosas.

Fuente: The Record.