Datalek Legal Aid Agency: dossiers gaan terug tot 1978
De Britse Legal Aid Agency (LAA) heeft bevestigd dat de gegevens die bij de cyberaanval van vorig jaar zijn gestolen veel verder teruggaan dan eerst werd gemeld. Een deel van de dossiers stamt uit 1978.
De LAA is een uitvoeringsorganisatie van het Ministry of Justice en beheert de Public Defender Service van het land. De organisatie financiert rechtshulp voor mensen die geen advocaat kunnen betalen. Aanvallers drongen in april 2025 de IT-systemen binnen, en het agentschap is nog altijd bezig om de volledige omvang van de buit in kaart te brengen.
Een datalek dat steeds groter werd
Het agentschap heeft ongeveer 1.250 medewerkers in dienst en beheert miljarden aan budget voor rechtshulp. Het werkt samen met zo'n 2.000 aanbieders, waaronder barristers, advocatenkantoren en non-profitorganisaties die civiele en strafrechtelijke rechtshulp verlenen in Engeland en Wales.
De LAA maakte de aanval begin mei 2025 voor het eerst bekend. Op dat moment waarschuwde het agentschap dat betalingsgegevens van rechtshulpaanbieders mogelijk waren buitgemaakt.
Twee weken later zag het beeld er anders uit. Het agentschap ontdekte dat de aanvallers een grote hoeveelheid gevoelige gegevens hadden meegenomen van aanvragers en ontvangers van rechtshulp, teruggaand tot 2010. Tot de gestolen informatie behoorden:
- contactgegevens en geboortedata
- nationale identificatienummers
- strafrechtelijk verleden
- arbeidssituatie
- eigen bijdragen, schulden en betalingen
Ook gegevens van aanbieders werden gestolen. Het ging om contracten, kantoorlocaties, financiele informatie, contactgegevens en inloggegevens voor het LAA Online Portal, waaronder namen en e-mailadressen.
Zo'n 250.000 dossiers van voor 2007
In een update die deze week verscheen, meldt de LAA dat nadere analyse van de buitgemaakte gegevens laat zien dat de dossiers bijna vijftig jaar teruggaan.
"Het overgrote deel van de LAA-gegevens heeft betrekking op aanvragen, declaraties of betalingen die tussen januari 2007 en 16 mei 2025 bij de LAA zijn ingediend, of op zaken die in die periode liepen. We hebben nu echter vastgesteld dat ongeveer 250.000 dossiers van voor 2007 zijn", aldus het agentschap.
"Het overgrote deel daarvan stamt uit de jaren negentig en de jaren nul, en slechts een zeer klein aantal dateert van voor 1990. Het oudste dossier dat tot nu toe is geverifieerd, stamt uit 1978."
Het agentschap voegt eraan toe dat de aanwezigheid van oudere dossiers niet betekent dat iedereen die voor 2007 rechtshulp heeft aangevraagd of ontvangen, of met het rechtssysteem te maken had, is getroffen.
Ministry of Justice wijst op nieuwe investeringen
Een woordvoerder van het Ministry of Justice laat aan BleepingComputer weten dat de overheid snel informatie op GOV.UK heeft gepubliceerd en die is blijven bijwerken naarmate het inzicht in de aanval groeide.
"Al voor de cyberaanval hadden we 20 miljoen pond toegezegd om de digitale systemen van de Legal Aid Agency te stabiliseren en te vernieuwen. We investeren nu meer dan 200 miljoen pond in de modernisering van digitale diensten, het vergroten van de weerbaarheid en het versterken van de cybersecurity binnen de rechtshulp", aldus de woordvoerder.
"Er is op dit moment geen bewijs dat persoonsgegevens waarvan wordt aangenomen dat ze zijn buitgemaakt, zijn gepubliceerd."
Onderdeel van een bredere golf incidenten in het VK
Na het datalek bij de LAA volgde een reeks aanvallen op de Britse retailers Co-op, Harrods en Marks & Spencer (M&S), die werden opgeeist door de ransomwaregroep DragonForce. De retailsector is sindsdien een doelwit gebleven, zoals de recente aanval van TFG London op modemerken laat zien.
Na deze incidenten publiceerde het National Cyber Security Centre (NCSC), de technische autoriteit van het VK op het gebied van cybersecurity, richtlijnen en riep het Britse organisaties op die te volgen om hun verdediging te versterken.
In januari kondigde de Britse overheid daarnaast een nieuwe cybersecuritystrategie aan, met een budget van meer dan 210 miljoen pond (283 miljoen dollar), om de verdediging van ministeries en de bredere publieke sector te verbeteren.
De publieke sector staat nog altijd onder druk. Deze week meldde de UK Housing Ombudsman Service dat het een IT-beveiligingsincident bij een externe partij onderzoekt dat gevolgen had voor het zaaksysteem. De dienst is een zelfstandig overheidsorgaan onder het Ministry of Housing dat geschillen beslecht tussen huurders van sociale huurwoningen en sociale verhuurders in Engeland.
Waarom dit ertoe doet
Het zorgwekkendste detail is niet alleen de ouderdom van de dossiers. Het is het soort gegevens. Een strafrechtelijk verleden, schulden en nationale identificatienummers verlopen niet. Iemand die in de jaren negentig rechtshulp aanvroeg, leidt nu misschien een heel ander leven, en als die geschiedenis op straat ligt, kan dat worden gebruikt voor afpersing, fraude of gerichte social engineering. De focus van de Silent Ransom Group op Amerikaanse advocatenkantoren laat zien hoe waardevol juridische gegevens zijn voor criminelen.
De zaak volgt bovendien een bekend patroon. De omvang groeide van betalingsgegevens van aanbieders, naar gegevens van aanvragers vanaf 2010, en nu naar dossiers uit 1978. Vergelijkbare stapsgewijze bijstellingen zagen we bij andere grote incidenten, zoals het oplopende aantal getroffenen bij het datalek van Oracle Health. Dat wijst erop dat organisaties vaak pas een volledig beeld hebben van wat ze opslaan nadat het is gestolen. Wie decennia aan gevoelige dossiers in bereikbare systemen bewaart, vergroot duidelijk de impact als het misgaat.
Het is de moeite waard om in de gaten te houden of de gestolen gegevens opduiken op leksites, want volgens het ministerie is daar tot nu toe geen bewijs voor. Een andere vraag is of de modernisering van 200 miljoen pond ook een herziening van de bewaartermijnen omvat, en niet alleen systeemupgrades. Iedereen die in Engeland en Wales met rechtshulp te maken heeft gehad, doet er goed aan alert te blijven op onverwacht contact waarin naar zijn of haar zaakgeschiedenis wordt verwezen.