De UK Legal Aid Agency breuk krijgt een nieuwe dimensie. Na een forensische review heeft de Britse instantie voor juridische hulp (Legal Aid Agency, LAA) vastgesteld dat bij de eerdere datalekmelding de impact waarschijnlijk groter was dan in eerste instantie werd gecommuniceerd.
Waar in mei vorig jaar al werd gemeld dat aanvallers gegevens van mensen die een aanvraag voor legal aid deden hadden ingezien en gekopieerd, laat een recent incidentupdate zien dat het om meer en ouder materiaal gaat. Daardoor worden niet alleen meer betrokkenen geraakt, maar wordt ook duidelijk hoe complex dergelijke incidenten kunnen zijn zodra meerdere systemen en datatypen meespelen.
Omvang van de UK Legal Aid Agency breuk: dossiers tot 1978
In de meest recente update geeft de LAA aan dat het merendeel van de gecompromitteerde gegevens te koppelen is aan aanvragen, claims en betalingen die tussen 2007 en 2025 zijn ingediend. Tegelijkertijd bevestigen onderzoekers dat ongeveer 250.000 gecompromitteerde records van vóór 2007 dateren.
De vroegste gegevens die inmiddels zijn geverifieerd, komen uit 1978. Het merendeel van die oudere dossiers is afkomstig uit de jaren 1990 en 2000, terwijl materiaal van vóór 1990 slechts een klein deel vormt.
Welke soorten gegevens zijn geraakt?
De UK Legal Aid Agency breuk draait niet alleen om algemene persoonsgegevens. De gegevens die mogelijk zijn ingezien en geëxfiltreerd, kunnen onder meer de volgende categorieën bevatten:
- namen en adressen
- geboortedata
- National Insurance Numbers
- postcodes
- case reference numbers
- antwoorden die zijn ingevuld in het Client and Cost Management System (CCMS)
- telefoonnummers en andere contact- of dossiergerelateerde informatie
Met name de aanwezigheid van dossier- en financieel-administratieve velden verhoogt de gevoeligheid. Zulke informatie is vaak waardevol voor gerichte fraude, identiteitsmisbruik en social engineering.
Niet alleen aanvragers: ook informatie van professionals
De impact van de UK Legal Aid Agency breuk beperkt zich volgens de LAA niet tot aanvragers of ontvangers van juridische hulp. Ook gegevens die betrekking hebben op juridische professionals die met de LAA te maken hadden zijn mogelijk betrokken.
Het gaat dan onder andere om:
- contracten en roosters (schedules)
- locaties van kantoren
- betaalgegevens
- gebruikersaccountgegevens (credentials)
Daarnaast zijn ook andere groepen mogelijk geraakt. Denk aan rechters, sollicitors, advocates en andere betrokkenen in civielrechtelijke procedures. Ook personen die pay point-locaties beheerden vallen onder de bredere doelgroep.
Probation-service data meebewogen in dezelfde aanval
De LAA meldt bovendien dat de verbeterde cybercapaciteiten tijdens het verdere onderzoek hebben uitgewezen dat ook data van gebruikers van de probation service is benaderd. Daarbij gaat het om een relatief kleine set records van overtreders die tussen 2010 en 2017 actief werden beheerd door Probation Services.
De geëxfiltreerde informatie bevat volgens de instantie onder meer namen, geboortedata, nationaliteiten en case reference numbers van deze groep.
Waarom duurde het onderzoek zo lang?
Een belangrijk inzicht uit de update is dat de analyse tijd kost wanneer een incident meerdere systemen raakt en enorme hoeveelheden data omvat. De LAA stelt dat de aanval zich heeft voorgedaan in een omgeving met meerdere systemen en dat het datavolume aanzienlijk was.
Verder was het merendeel van de data volgens de instantie ongestructured, gefragmenteerd of incomplete. Daardoor is het complex om vast te stellen welke informatie precies door aanvallers is ingezien en gekopieerd.
Om die reden zijn er na het incident specialistische technische en data-teams aan de slag gegaan om te begrijpen wat er precies is geraakt. Dat verklaart ook waarom de aanvankelijke scope later werd bijgesteld.
Geen aanwijzing voor publieke release of verkoop
In de communicatie rond de UK Legal Aid Agency breuk benadrukt de LAA dat er op dat moment geen aanwijzingen zijn dat gestolen informatie publiek is vrijgegeven of is verkocht. Dat is positief, maar neemt de risico’s voor betrokkenen niet volledig weg.
In de praktijk kan informatie immers later alsnog opduiken, bijvoorbeeld via handel op criminele marktplaatsen, of kan het doelbewust worden ingezet voor phishing en gerichte fraude. Daarom blijft aandacht voor mitigatie en monitoring van belang.
Wat kun je hiervan meenemen voor je eigen organisatie?
Los van de specifieke instelling laat de UK Legal Aid Agency breuk vooral zien hoe snel de scope van een datalek kan veranderen. Als aanvallers systemen en datastromen combineren, kan forensisch onderzoek pas na verloop van tijd een volledig beeld geven.
Een paar praktische lessen:
- Investeer in dataclassificatie en inventaris: als je niet weet waar je gegevens staan en hoe ze zijn opgebouwd, wordt scope bepalen lastiger.
- Maak “incidentanalyse” onderdeel van de dataketen: ongestructureerde data en versnipperde datasets vragen om speciale tooling en expertise.
- Reken op updates: verwacht dat de eerste melding mogelijk niet de volledige impact bevat, zeker bij complexe aanvallen.
- Focus op credential-hygiëne: wanneer gebruikersaccounts worden geraakt, moet je ook werken aan hergebruikbeperking en herstelprocessen.
Wil je weten hoe organisaties omgaan met kwetsbaarheden en patches in software die in het dagelijks verkeer een rol speelt? Dan zijn deze gerelateerde artikelen mogelijk nuttig, omdat ze laten zien hoe snel updates nodig zijn wanneer een risico actief wordt uitgebuit:
