ExfilSquad

英国警方国家法律数据库（Police National Legal Database，简称PNLD）是英国各地警察部队和刑事司法机构依赖的法律查询服务机构，该机构已确认，其内部数据遭遇安全事件，涉及警员、政府人员及客户的联系信息被窃取并公布在暗网上。 PNLD是一个在线刑法数据库，供英格兰和威尔士的43个内政部警察部队、执法部门和更广泛的刑事司法组织使用，这两个地区共雇佣了145,550名全职警员。它不是犯罪记录系统，也不保存与受害者、证人或犯罪者有关的机密信息。 PNLD表示，该事件于7月26日被发现。泄露的信息包括警员、警务人员、刑事司法专业人士、政府合作伙伴以及客户的姓名、所属机构和工作邮箱地址。此外，部分通过“Ask the Police”服务提交问题的公众姓名和邮箱地址也遭到泄露。根据英国政府相关指导，这种泄露可能使针对具名警员的钓鱼邮件更具说服力。 PNLD强调：“目前没有证据表明密码或其他安全凭证遭到泄露。”该服务为英国警方和刑事司法机构提供法律信息、产品与服务。它并非警方国家计算机系统或警方国家数据库，也不是犯罪记录系统，不保存有关受害者、证人或罪犯的机密信息。 PNLD数据泄露事件的细节与影响范围 PNLD表示，已联系所有受影响机构，并向其提供进一步信息与指导。受影响的“Ask the Police”用户已收到相关邮件，内容包含更多信息和建议。该组织已向信息专员办公室（ICO）报告，并正在与国家犯罪调查局（NCA）以及专业网络安全机构合作调查。 截至2026年8月3日，PNLD尚未公开披露受影响人数、入侵开始时间、访问持续时长，或被窃取信息的具体数量。 根据更新信息，东北地区有组织犯罪部门表示，他们正在调查此次事件，并确认“尚未收到勒索要求”。该部门进一步说明，约有11.4万名PNLD订阅者的数据受到影响，涉及警员及其他刑事司法合作伙伴的姓名、工作邮箱和所属机构。此外，还有约2.1万个曾使用“Ask the Police”（向警方咨询）服务的公众邮箱地址。同样，目前没有证据表明密码或其他安全凭证被泄露。 PNLD在其2025-26年度摘要中报告称，有10.8429万名警员注册，并为所有43个内政部警察部队提供支持。这是用户基数数据，并非泄露受害者数量。 勒索软件团伙ExfilSquad是幕后黑手 此次泄露似乎与一个名为ExfilSquad的勒索软件团伙有关。该团伙上周曾声称对英国教育部（Department for Education，DfE）的类似事件负责。目前，该团伙在其暗网泄露网站上同时列出了PNLD和DfE作为最新受害者。 针对PNLD，黑客声称窃取了约1.9GB数据，包含大约13.5万条执法部门联系记录，包括姓名、电子邮箱地址和警察部队区域信息。针对DfE，他们声称获取了约60万条家长和教职工联系记录，以及来自其图灵（Turing）门户网站的另外7000条记录。教育部上周确认，确实有超过60.7万条记录被暴露，但受影响信息仅限于其客户帮助门户网站和图灵计划中的客户服务联系方式，并表示没有其他部门数据被访问。 ExfilSquad在暗网泄密网站上警告受害者，该团伙表示：“一旦贵公司的数据被发布到这里，就永远不会离开公众视野，它将永远在互联网上传播。我们向您索要的赔偿金与数据泄露造成的诉讼成本相比，简直微不足道。明智点，乖乖付钱吧。” 英国教育部（DfE）和国家法律事务部（PNLD）的确认并不能证实ExfilSquad在其暗网泄密网站上发布的所有内容。该暗网网站还将微软列为受害者，声称窃取了13GB 的数据，其中包含数百万条记录、密码哈希值、内部支持工单和访问权限信息。 “ExfilSquad看起来是受经济利益驱动，而不是受国家支持，而且鉴于政府严格的不赎金政策，它不太可能获得赔偿，” OPSWAT北欧防务战略主管Graham Taylor表示。 该事件的技术调查进展 PNLD在其2023-24年度摘要中表示，该数据库使用微软Power Platform技术。相关泄露通知页面引用了托管在微软content.powerapps.com域名上的资源，这印证了平台关联，但并未说明攻击者如何获取数据。 安全公司VenariX审查了与ExfilSquad声称的15个受害者中11个相关的样本，发现这些样本均具有与Dataverse一致的结构。在休斯顿案例中，该公司确认一个公共门户在无需身份验证的情况下返回了记录，且这些记录与该组织公布的数据一致。 VenariX评估认为，可能的攻击路径是一个具有广泛匿名用户访问Dataverse表权限的公共Power Pages站点，同时需要启用Power Pages Web API或旧版OData feed。微软文档指出，授予匿名用户角色对表的访问权限，会使数据对任何访问该站点的人可见。 不过，VenariX表示，目前证据“尚未确认每个组织都是通过暴露的Power Apps门户或相同的配置问题受到影响”。截至8月3日，无论是PNLD的通知还是VenariX的报告，都未指出具体的PNLD端点、权限设置、API路由或支持日志。目前，Power Pages关联仍只是一个待验证的假设，而非对PNLD泄露的确定解释。 微软提供了租户级治理控制，可阻止未经验证的用户读取Dataverse数据，同时仍允许公共表单提交。VenariX建议Power Pages运营方审查匿名用户表权限、Web API设置和旧版OData feed，并从未经身份验证的浏览器会话中验证访问权限。这些措施针对的是VenariX识别出的配置模式，而非已确认的PNLD根本原因。 ExfilSquad于7月26日在其泄露网站上列出了PNLD，但PNLD尚未将该事件归因于该勒索软件。VenariX在审查的活动材料中未发现勒索软件部署、恶意软件使用、横向移动或软件漏洞利用的证据。 Graham Taylor表示，令人不安的事实是，英国公共部门的大部分部门由于存在大量遗留系统和分散的监管，在应对当前和未来的网络威胁所需的资源和韧性方面落后多年。他表示，各部门需要实施安全的文件传输技术，同时进行文件检查和恶意软件扫描，以阻止恶意载荷通过可信数据交换进入关键系统。