A Police National Legal Database (PNLD) confirmou que informações de contato da polícia, do governo e de clientes foram comprometidas e publicadas na dark web.
Os dados incluíam nomes, organizações e endereços de email de trabalho pertencentes a policiais, funcionários da polícia, profissionais da justiça criminal, parceiros do governo e clientes.
O incidente, identificado em 26/07, também expôs alguns nomes e endereços de email de pessoas que enviaram perguntas por meio do Ask the Police.
Segundo orientações do governo britânico, essa exposição pode tornar mais convincentes mensagens de phishing direcionadas a policiais identificados nominalmente.
A PNLD afirmou: “Não há evidências de que senhas ou outras credenciais de segurança tenham sido comprometidas”.
O serviço fornece informações jurídicas, produtos e serviços para forças policiais e organizações da justiça criminal do Reino Unido.
Ele não é o Police National Computer nem o Police National Database, não é um sistema de registro de crimes e não armazena informações confidenciais sobre vítimas, testemunhas ou infratores.
A PNLD informou que contatou todas as organizações afetadas e lhes forneceu mais informações e orientações.
Os usuários afetados do Ask the Police já receberam um email com mais detalhes e recomendações.
A entidade notificou o Information Commissioner’s Office (ICO) e trabalha com a National Crime Agency (NCA) e com organizações especializadas em cibersegurança.
Até 03/08/2026, a PNLD ainda não havia divulgado publicamente quantas pessoas foram afetadas, quando a intrusão começou, por quanto tempo o acesso permaneceu ativo ou quanto material foi levado.
O aviso oficial de incidente da PNLD descreve os campos expostos, mas não informa o total de vítimas.
Em seu resumo anual de 2025-26, a entidade relatou 108.429 cadastros policiais e atendimento às 43 forças policiais do Home Office.
Esse número representa a base de usuários, não a quantidade de vítimas do incidente.
A PNLD afirmou em seu resumo anual de 2023-24 que o banco de dados usa tecnologia Microsoft Power Platform.
Em 03/08/2026, a página de aviso do incidente fazia referência a ativos hospedados no domínio content.powerapps.com, da Microsoft.
Isso reforça a ligação com a plataforma, mas não mostra como o atacante obteve os dados.
A VenariX analisou amostras associadas a 11 das 15 vítimas reivindicadas pelo ExfilSquad e encontrou estruturas compatíveis com Dataverse em todos os 11 casos.
No episódio de Houston, a empresa confirmou que um portal público retornava registros sem autenticação e que esses registros eram consistentes com os dados publicados pelo grupo.
A VenariX avaliou que o caminho mais provável da campanha era um site público do Power Pages com amplo acesso de Anonymous Users a tabelas do Dataverse.
Esse caminho também exigiria a ativação da Web API do Power Pages ou de um feed OData legado.
A documentação da Microsoft diz que conceder à função Anonymous Users acesso a uma tabela torna seus dados visíveis para qualquer pessoa que acesse o site.
A documentação da Web API também informa que a interface /_api segue as permissões de tabela associadas a cada função da web.
A VenariX afirmou que as evidências “ainda não confirmam que todas as organizações foram afetadas por meio de um portal exposto do Power Apps ou pela mesma falha de configuração”.
Até 03/08/2026, nem o aviso da PNLD nem o relatório da VenariX identificavam um endpoint específico da PNLD, uma configuração de permissão, uma rota de API ou um log de apoio.
Neste momento, a ligação com o Power Pages continua sendo uma hipótese a ser testada, e não uma explicação confirmada para o incidente na PNLD.
A Microsoft oferece um controle de governança em nível de tenant que bloqueia usuários não autenticados de ler dados do Dataverse, ao mesmo tempo em que mantém permitidos os envios de formulários públicos.
A VenariX recomenda que operadores do Power Pages também revisem as permissões de tabela para Anonymous Users, as configurações da Web API e os feeds OData legados, e depois validem o acesso a partir de uma sessão de navegador não autenticada.
Essas medidas tratam do padrão de configuração identificado pela VenariX, e não de uma causa raiz confirmada na PNLD.
O ExfilSquad listou a PNLD em seu site de vazamentos em 26/07, mas a PNLD não atribuiu o incidente ao grupo.
A VenariX não encontrou evidências de uso de ransomware, de malware, de movimentação lateral ou de exploração de uma vulnerabilidade de software no material de campanha que analisou.
A PNLD também não divulgou publicamente a rota exata de acesso, o número de pessoas atingidas nem o volume total de dados publicados.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...