Brecha en la base jurídica de la policía británica: 135.000 registros
Un servicio de consulta jurídica que utilizan todas las fuerzas policiales de Inglaterra y Gales ha confirmado que sus registros fueron robados y volcados en un sitio de filtraciones de la dark web. La Police National Legal Database no guarda expedientes ni antecedentes penales y, aun así, la brecha expuso unos 135.000 registros. Entre los afectados hay ciudadanos corrientes cuyo único desliz fue hacerle una pregunta a la policía.
Qué se llevaron realmente
La Police National Legal Database, abreviada PNLD, está gestionada por la policía de West Yorkshire y funciona como base de conocimiento jurídico para agentes y personal de justicia penal de todo el Reino Unido. La intrusión se detectó el 26 de julio de 2026 y, poco después, un grupo autodenominado ExfilSquad publicó muestras en su sitio de filtraciones. La PNLD confirmó el robo públicamente el 3 de agosto.
- 114.000 registros: cuentas de suscriptores pertenecientes a agentes de policía y a otros profesionales de la justicia penal.
- 21.000 registros: nombres y direcciones de correo de personas que usaron Ask the Police, el servicio público donde cualquiera puede plantear una pregunta a la policía.
- 1,9 GB: el volumen que reclama ExfilSquad, descrito por el grupo como unos 135.000 contactos.
- Los campos: nombres completos, direcciones de correo del trabajo y la organización para la que trabaja cada persona.
Quién aparece en el archivo
Como la PNLD da servicio a todo el sistema de justicia penal y no a un único cuerpo, el conjunto de afectados es inusualmente amplio. Según lo publicado, entran las 43 fuerzas policiales de Inglaterra y Gales dependientes del Ministerio del Interior, además de la British Transport Police, y hay registros que alcanzan al Ministerio de Defensa, al propio Ministerio del Interior, a la Crown Prosecution Service y a la National Crime Agency.
La investigación la dirige la North East Regional Organised Crime Unit con apoyo de empresas especializadas en ciberseguridad y de esa misma National Crime Agency, un arreglo incómodo si se tiene en cuenta que hay personal de la agencia entre quienes vieron publicados sus datos. La autoridad de protección de datos británica, la ICO, ha sido notificada.
Qué no se llevaron, y por qué importa
En una filtración la precisión corta en ambas direcciones, y varias cosas no quedaron expuestas. La PNLD afirma que no hay indicios de que se hayan comprometido contraseñas ni otras credenciales de seguridad. No hubo información confidencial de víctimas, testigos ni infractores, porque la base no contiene ese material. Tampoco se recibió petición de rescate, algo llamativo en sí mismo y que apunta a un grupo interesado en la reputación o la reventa antes que en la extorsión.
Por qué vale algo un listado de correos policiales
Las bases de datos de consumidores robadas suelen monetizarse al peso. Un directorio de personal de justicia funciona distinto: es pequeño, verificado y concreto. Señala quién trabaja dónde, sobrevive a cualquier cambio de contraseñas y sigue siendo útil durante años, porque las direcciones de trabajo y los empleadores cambian despacio. Para quien prepara ingeniería social contra un cuerpo policial, o simplemente quiere identificar agentes, esa estructura vale más que un volcado mucho mayor de cuentas de tiendas.
Hay aquí un segundo grupo del que se habla mucho menos. Ask the Police existe precisamente para que alguien pueda preguntar por sus derechos, por un conflicto o por un incidente sin entrar en una comisaría. Quienes lo usaron podían suponer razonablemente que la pregunta quedaría entre ellos y el servicio. Sus direcciones están ahora en el mismo archivo que las de los agentes.
Qué puede hacer una persona y qué no
Lo incómodo es lo poco que dependía de los propios afectados. Nadie eligió estar en la PNLD: a los agentes los inscribió su empleador y el público usó un servicio que ofrecía la propia policía. No había ajuste de privacidad que apretar, ni cuenta que borrar por precaución, ni forma de auditar cómo se guardaban esos datos.
Ahí está también el límite de lo que puede arreglar una herramienta de red. Cifrar la conexión protege lo que viaja entre el dispositivo y el servicio, y no cambia nada en una base que ya contiene un nombre y un empleador. Por eso la respuesta práctica a un incidente así es vigilar el phishing dirigido y tratar con desconfianza la correspondencia laboral inesperada, en lugar de recurrir a un remedio técnico que no aplica.
