Wprowadzenie do problemu / definicja
Naruszenia bezpieczeństwa w administracji publicznej należą do najpoważniejszych incydentów cyberbezpieczeństwa, ponieważ dotyczą systemów przetwarzających dane osobowe, finansowe oraz informacje powiązane z postępowaniami prawnymi. Taki charakter miał incydent dotyczący brytyjskiej Legal Aid Agency, agencji odpowiedzialnej za obsługę pomocy prawnej w Anglii i Walii. Najnowsze ustalenia wskazują, że napastnicy uzyskali dostęp do rekordów historycznych sięgających nawet 1978 roku.
W skrócie
Incydent objął systemy cyfrowe używane do obsługi pomocy prawnej oraz rozliczeń z dostawcami usług prawnych. Atak wykryto 23 kwietnia 2025 roku, jednak późniejsze ustalenia wykazały, że kompromitacja rozpoczęła się już w grudniu 2024 roku, a eksfiltracja danych miała trwać od stycznia 2025 roku.
Początkowo zakładano, że naruszenie dotyczy danych od 2010 roku, następnie zakres rozszerzono do 2007 roku, a finalna analiza potwierdziła również około 250 tys. rekordów starszych niż 2007 rok. Najwcześniejszy zweryfikowany wpis pochodził z 1978 roku. Wśród potencjalnie przejętych informacji znalazły się dane identyfikacyjne, kontaktowe, finansowe, szczegóły wniosków o pomoc prawną oraz dane partnerów i dostawców usług prawnych.
Kontekst / historia
Legal Aid Agency administruje systemem pomocy prawnej finansowanej ze środków publicznych. Obejmuje on zarówno obywateli składających wnioski, jak i kancelarie, barristerów, organizacje non-profit oraz inne podmioty rozliczające usługi z państwem. Z perspektywy cyberbezpieczeństwa oznacza to koncentrację danych o wysokiej wartości operacyjnej i wywiadowczej.
Pierwsze komunikaty po incydencie sugerowały naruszenie danych dostawców usług prawnych i informacji finansowych związanych z płatnościami. W kolejnych tygodniach skala zdarzenia rosła wraz z postępem dochodzenia. Ustalono, że atak był bardziej rozległy, niż początkowo sądzono, a pobrane dane obejmowały również informacje o osobach ubiegających się o pomoc prawną. Dalsze analizy potwierdziły obecność rekordów archiwalnych wykraczających daleko poza wcześniej wskazywany przedział czasowy.
Sprawa wpisuje się w szerszy problem cyberzagrożeń w sektorze publicznym. Długo utrzymywane systemy, rozbudowane zależności procesowe, duże wolumeny danych historycznych oraz ograniczenia modernizacyjne zwiększają powierzchnię ataku i utrudniają szybkie ograniczenie skutków naruszenia.
Analiza techniczna
Z technicznego punktu widzenia incydent nosi cechy długotrwałej kompromitacji środowiska, w której wykrycie nastąpiło znacznie później niż początek aktywności napastników. Według ujawnionych informacji dostęp do środowiska rozpoczął się w grudniu 2024 roku, natomiast właściwa eksfiltracja danych była prowadzona od stycznia 2025 roku. Taki przebieg zwykle oznacza wieloetapową operację: uzyskanie dostępu początkowego, utrzymanie obecności, rozpoznanie zasobów, eskalację uprawnień, identyfikację wartościowych repozytoriów i transfer danych poza organizację.
Szczególnie istotny jest zakres przejętych informacji. Chodzi nie tylko o dane bieżące, ale również o rekordy historyczne i metadane związane z procesami administracyjnymi, roszczeniami, płatnościami oraz danymi dostawców. Może to sugerować dostęp do systemów centralnych, hurtowni danych, repozytoriów archiwalnych lub interfejsów integracyjnych łączących dane operacyjne z historycznymi.
- nadmiernie szeroki dostęp kont uprzywilejowanych,
- niewystarczająca segmentacja środowiska,
- zbyt długi okres retencji danych w systemach produkcyjnych lub półprodukcyjnych,
- brak pełnej izolacji archiwów,
- ograniczona widoczność telemetryczna dla transferów danych o niskim i średnim wolumenie,
- trudności z szybkim ustaleniem kompletnego zakresu naruszenia.
Na uwagę zasługuje również fakt, że organizacja początkowo oceniała incydent jako węższy. To częsty scenariusz podczas reakcji na złożone naruszenia, gdy zespół bezpieczeństwa dysponuje jedynie częściowym obrazem zdarzeń. Dopiero analiza śledcza, korelacja logów i rekonstrukcja osi czasu pozwalają oszacować rzeczywistą skalę dostępu i pełen zakres eksfiltracji.
Konsekwencje / ryzyko
Ryzyko wynikające z tego incydentu jest wysokie. Naruszone dane mogą obejmować informacje szczególnie wrażliwe, w tym dane osobowe, dane finansowe, informacje o zadłużeniu, wkładach własnych, historii spraw oraz statusie życiowym i zawodowym osób korzystających z pomocy prawnej. Baza potencjalnie poszkodowanych może obejmować zarówno obywateli, jak i profesjonalnych uczestników rynku usług prawnych.
Dla osób fizycznych skutki mogą obejmować:
- ukierunkowany phishing i spear phishing,
- próby kradzieży tożsamości,
- oszustwa finansowe,
- podszywanie się pod urzędy, kancelarie lub usługodawców,
- wtórne wykorzystanie danych do profilowania ofiar.
Dla kancelarii i dostawców usług prawnych zagrożenie obejmuje:
- kampanie przejęcia kont,
- wyłudzenia płatności i zmian danych rozliczeniowych,
- ataki typu business email compromise,
- ryzyko dalszego ruchu bocznego do powiązanych systemów.
Z perspektywy państwa i sektora publicznego konsekwencje są jeszcze szersze. Incydent osłabia zaufanie do usług publicznych, zwiększa koszty reakcji, dochodzeń i komunikacji kryzysowej, a także może wymusić kosztowną modernizację środowisk IT. Jeśli w środowisku przez długi czas utrzymywano szeroki zasób danych historycznych, oznacza to również problem zarządzania danymi, retencji i klasyfikacji informacji.
Rekomendacje
Dla organizacji publicznych oraz podmiotów przetwarzających dane o podobnej wrażliwości z incydentu płynie kilka ważnych wniosków. Przede wszystkim należy ograniczać zbędną ekspozycję danych historycznych. Archiwa powinny być odseparowane od środowisk operacyjnych, objęte odmienną polityką dostępu i monitoringu oraz odpowiednio szyfrowane.
Konieczne jest także wdrażanie ścisłej segmentacji środowiska oraz zasady najmniejszych uprawnień. Konta uprzywilejowane powinny być zabezpieczone uwierzytelnianiem wieloskładnikowym, kontrolą sesji, pełnym rejestrowaniem działań oraz regularnym przeglądem uprawnień.
Równie istotne jest rozwijanie zdolności detekcyjnych. Organizacje powinny monitorować nietypowe transfery danych, zapytania do repozytoriów historycznych, eksporty zbiorcze oraz aktywność administracyjną poza standardowymi godzinami operacyjnymi. Kluczowa pozostaje korelacja logów z systemów tożsamości, baz danych, warstwy aplikacyjnej i infrastruktury brzegowej.
W praktyce warto wdrożyć następujące działania:
- wymuszenie MFA dla wszystkich kont z dostępem do portali i systemów rozliczeniowych,
- rotację haseł i kluczy dostępowych po incydencie partnera,
- przegląd reguł pocztowych i zabezpieczeń przed BEC,
- dodatkowe szkolenia dla personelu obsługującego płatności i dane klientów,
- weryfikację planów ciągłości działania oraz zależności od zewnętrznych platform,
- regularne ćwiczenia reagowania na incydenty obejmujące długotrwałą obecność napastnika.
Podsumowanie
Incydent w Legal Aid Agency pokazuje, jak poważne skutki może mieć kompromitacja systemów publicznych przetwarzających dane wrażliwe przez dekady. Najważniejszy wniosek nie dotyczy wyłącznie samej eksfiltracji, lecz również tego, że zakres przejętych informacji okazał się znacznie szerszy niż pierwotnie zakładano i objął rekordy historyczne sięgające 1978 roku.
To wyraźny sygnał ostrzegawczy dla całego sektora publicznego. Bezpieczeństwo usług cyfrowych musi obejmować nie tylko ochronę bieżących systemów, ale również archiwów, danych historycznych, procesów retencji oraz pełnej widoczności operacyjnej w całym cyklu życia informacji.
Źródła
- BleepingComputer — UK Legal Aid Agency: Hackers stole records dating back to 1978 — https://www.bleepingcomputer.com/news/security/uk-legal-aid-agency-hackers-stole-records-dating-back-to-1978/
- GOV.UK — Legal Aid Agency data breach — https://www.gov.uk/government/news/legal-aid-agency-data-breach
- GOV.UK — Annual Report and Accounts 2024-25: Accountability Report — https://www.gov.uk/government/publications/legal-aid-agency-annual-report-and-accounts-2024-to-2025/annual-report-and-accounts-2024-25-accountability-report-html
- National Cyber Security Centre — 10 Steps to Cyber Security — https://www.ncsc.gov.uk/guidance/10-steps-cyber-security
- GOV.UK — Government Cyber Action Plan — https://www.gov.uk/government/publications/government-cyber-action-plan/government-cyber-action-plan