Cyberaanval op Britse Legal Aid Agency trof veel oudere en uitgebreidere persoonsgegevens dan eerder bekend, met data vanaf 1978.
Een cyberaanval op de Britse Legal Aid Agency (LAA) heeft geleid tot het stelen van veel oudere en uitgebreidere gegevens dan aanvankelijk werd gemeld. Waar eerst werd aangenomen dat de inbreuk alleen data betrof van personen die sinds 2010 gebruikmaakten van de dienst, blijkt nu dat ongeveer 250.000 records dateren van vóór 2007, met het oudste record uit 1978. Ook zijn gegevens van extra personen die onder toezicht stonden van de reclasseringsdienst buitgemaakt.
Minister van Justitie Sarah Sackman noemde het incident in een schriftelijke verklaring aan het parlement "significant en complex". De aanval vond plaats doordat criminelen kwetsbaarheden in de IT-systemen van de LAA konden misbruiken om toegang te krijgen tot systemen met persoonlijke informatie. Vervolgens kopieerden en exfiltreerden zij data die door het departement werd beheerd.
De LAA maakte vorig jaar mei bekend dat hackers toegang hadden gekregen tot gegevens van mensen die sinds 2010 via de online dienst een aanvraag voor rechtsbijstand hadden ingediend, waarbij ook strafrechtelijke gegevens mogelijk waren gelekt. Destijds waarschuwden goede doelen dat de gestolen data gevoelige informatie kon bevatten over vrouwen en meisjes die slachtoffer waren van huiselijk geweld.
In een update van deze week meldt de LAA dat forensisch onderzoek heeft aangetoond dat meer data is buitgemaakt dan aanvankelijk werd gedacht. De meeste gegevens betreffen aanvragen, claims of betalingen tussen januari 2007 en 16 mei 2025, of zaken die in die periode actief waren. Daarnaast zijn er circa 250.000 records die van vóór 2007 dateren, voornamelijk uit de jaren 1990 en 2000, met slechts een klein aantal van vóór 1990.
De gestolen informatie omvat ook gegevens van de reclassering, zoals namen, geboortedata, nationaliteiten en zaakreferentienummers. De aard van de gelekte data verschilt per zaak, maar kan onder meer volledige namen, geboortedata, sofinummers, postcodes, gelijkheidsmonitoringcodes, start- en einddata van zaken, geclaimde kosten, btw-bedragen en codes voor het type rechtsbijstand bevatten. Verder zijn er financiële beoordelingen van verdachten en hun partners, bank- en eigendomsgegevens en deels geanonimiseerde betaalkaartgegevens gelekt.
Ook namen van rechters, verdedigers, aanklagers en griffiers die betrokken waren bij Crown Court-zaken in de betreffende periodes zijn buitgemaakt, evenals gegevens van tegenpartijen in sommige civiele zaken. De LAA benadrukt dat het lastig is om de omvang van de schade te bepalen omdat veel van de gestolen data ongestructureerd, gefragmenteerd of incompleet is. Eerdere publieke verklaringen weerspiegelden de beste beschikbare informatie op dat moment.
Sackman gaf in het Lagerhuis aan dat er geen aanwijzingen zijn dat de gestolen data is gepubliceerd of gedeeld, een wijziging ten opzichte van mei 2025 toen een woordvoerder van het ministerie nog stelde dat publicatie een kwestie van "wanneer, niet of" was. De hackers beweerden data van meer dan 2 miljoen mensen in bezit te hebben en dreigden deze vrij te geven tenzij er werd betaald. De Britse overheid heeft een lange geschiedenis van het aanpakken van dergelijke cyberdreigingen en het beschermen van gevoelige persoonsgegevens.
