Sinds 2021 zijn Britse politiedata herhaaldelijk getroffen door cyberaanvallen via leveranciers, meldt de toezichthouder.
Hackers hebben sinds 2021 herhaaldelijk toegang gekregen tot systemen van derde partijen die data van de Britse politie beheren, zo blijkt uit een rapport van His Majesty’s Inspectorate of Constabulary and Fire & Rescue Services. Deze toezichthouder, verantwoordelijk voor toezicht op politie en brandweer in Engeland en Wales, meldt dat de Police Digital Service en de National Police Chiefs’ Council informatie deelden over meerdere cyberaanvallen op ICT-leveranciers die politiedata bevatten.
Het rapport geeft geen details over het aantal aanvallen, welke leveranciers of politiediensten getroffen zijn, noch of er daadwerkelijk data is gestolen. Operationele details zijn bewust weggelaten omdat deze niet geschikt worden geacht voor openbaarmaking. Zowel het Britse ministerie van Binnenlandse Zaken als de National Police Chiefs’ Council hebben niet gereageerd op vragen over mogelijke datalekken bij deze aanvallen.
De Police Digital Service registreerde in de eerste drie maanden van dit jaar 252 cybersecurity-incidenten binnen de politie, naast 796 zogenaamde near misses, incidenten zonder schadelijke datalekken of systeemschade. Het rapport specificeert niet hoeveel van deze incidenten dataverlies betroffen, maar noemt onder meer malware-aanvallen, ongeautoriseerde toegangspogingen en onbedoelde datalekken door politiepersoneel.
Daarnaast constateert het rapport dat zowel politie- als brandweerdiensten te maken hebben gehad met cyberaanvallen die operationele systemen troffen, data compromitteerden en diensten verstoorden. Leidinggevenden in beide sectoren geven aan dat verdere aanvallen zeer waarschijnlijk zijn.
De Police Digital Service waarschuwt dat data die bij leveranciers wordt opgeslagen een van de grootste risico’s vormt, omdat deze buiten het directe toezicht valt. Vooral gegevens over slachtoffers, bescherming, inlichtingen en onderzoeken zijn kwetsbaar. Inspecteurs vonden dat de meeste contracten met leveranciers geen continue cybersecuritygaranties bevatten. In sommige gevallen was onduidelijk of leveranciers incidenten tijdig moesten melden, en waren logs van leveranciers niet standaard zichtbaar voor interne teams.
Het rapport bekritiseert ook de overheid omdat politie- en brandweerdiensten zijn uitgesloten van het National Risk Register 2025, het in januari gepubliceerde Government Cyber Action Plan en de Cyber Security and Resilience Bill die momenteel in het parlement ligt. Geen enkele overheidsfunctionaris kon uitleggen waarom deze sectoren zijn weggelaten, wat zorgwekkend wordt genoemd vanwege hun cruciale rol in de openbare veiligheid.
Hoewel het rapport geen specifieke details geeft over de genoemde inbraken, zijn enkele incidenten publiek bekend. Zo leidde een ransomware-aanval in 2023 op ID-kaartproducent Digital ID tot blootstelling van gegevens van medewerkers van de Metropolitan Police en diefstal van duizenden namen en foto’s van agenten van Greater Manchester Police. In juli bevestigde de Police National Legal Database, een referentiedienst gebruikt door alle politiediensten in Engeland en Wales, ook een incident.
