Violazione del database giuridico della polizia britannica: 135.000 record

Un servizio di consultazione giuridica usato da tutte le forze di polizia di Inghilterra e Galles ha confermato che i suoi archivi sono stati rubati e pubblicati su un sito di leak nel dark web. Il Police National Legal Database non contiene fascicoli né precedenti penali, eppure la violazione ha esposto circa 135.000 record. E tra le persone coinvolte ci sono comuni cittadini, la cui unica colpa è stata rivolgere una domanda alla polizia.

Che cosa è stato davvero sottratto

Il Police National Legal Database, in breve PNLD, è gestito dalla polizia del West Yorkshire e funziona come base di conoscenza giuridica per agenti e personale della giustizia penale in tutto il Regno Unito. L'intrusione è stata rilevata il 26 luglio 2026 e in seguito un gruppo che si fa chiamare ExfilSquad ha pubblicato dei campioni sul proprio sito. Il PNLD ha confermato pubblicamente il furto il 3 agosto.

• 114.000 record: account di abbonati appartenenti ad agenti di polizia e ad altri professionisti della giustizia penale.
• 21.000 record: nomi e indirizzi email di persone che hanno usato Ask the Police, il servizio pubblico attraverso cui chiunque può porre una domanda alla polizia.
• 1,9 GB: il volume rivendicato da ExfilSquad, che lo descrive come circa 135.000 contatti.
• I campi: nomi completi, indirizzi email di lavoro e organizzazione presso cui la persona presta servizio.

Chi si trova in quel file

Poiché il PNLD serve l'intero sistema della giustizia penale e non un singolo corpo, la platea coinvolta è insolitamente ampia. Secondo quanto pubblicato rientrano tutte le 43 forze di polizia di Inghilterra e Galles che dipendono dal Ministero dell'Interno, oltre alla British Transport Police, e singoli record arrivano fino al Ministero della Difesa, al Ministero dell'Interno, alla Crown Prosecution Service e alla National Crime Agency.

L'indagine è guidata dalla North East Regional Organised Crime Unit con il supporto di società specializzate in sicurezza informatica e della stessa National Crime Agency, una combinazione scomoda dato che tra i dati pubblicati compaiono anche persone dell'agenzia. L'autorità britannica per la protezione dei dati, l'ICO, è stata informata.

Che cosa non è stato preso, e perché conta

In una storia di violazione la precisione taglia da entrambi i lati, e diverse cose non sono state esposte. Il PNLD afferma che non ci sono prove di password o altre credenziali di sicurezza compromesse. Nessuna informazione riservata su vittime, testimoni o autori di reato è stata coinvolta, perché la banca dati non contiene affatto quel materiale. Non è arrivata alcuna richiesta di riscatto, il che è di per sé notevole e suggerisce un gruppo interessato alla reputazione o alla rivendita più che all'estorsione.

Perché un elenco di email della polizia ha valore

Le banche dati di consumatori rubate si monetizzano di solito in blocco. Un elenco di personale della giustizia funziona diversamente: è piccolo, verificato e specifico. Indica chi lavora dove, sopravvive a qualunque cambio di password e resta utile per anni, perché indirizzi di lavoro e datori cambiano lentamente. Per chi prepara ingegneria sociale contro un corpo di polizia, o semplicemente vuole identificare gli agenti, quella struttura vale più di un dump molto più grande di account di negozi online.

C'è poi un secondo gruppo di cui si parla molto meno. Ask the Police esiste proprio perché una persona possa informarsi sui propri diritti, su una controversia o su un episodio senza entrare in una stazione di polizia. Chi lo ha usato poteva ragionevolmente aspettarsi che la domanda restasse tra sé e il servizio. Ora i loro indirizzi si trovano nello stesso file di quelli degli agenti.

Che cosa può fare una persona e che cosa no

La parte più scomoda è quanto poco dipendesse dai diretti interessati. Nessuno ha scelto di finire nel PNLD: gli agenti sono stati iscritti dal datore di lavoro e i cittadini hanno usato un servizio offerto dalla polizia stessa. Non c'era alcuna impostazione sulla privacy da stringere, nessun account da cancellare in anticipo, nessun modo di verificare come quei dati venissero conservati.

Lì passa anche il confine di ciò che uno strumento di rete può risolvere. Cifrare la connessione protegge quello che viaggia tra dispositivo e servizio e non cambia nulla di una banca dati che contiene già nome e datore di lavoro. Per questo la risposta pratica a un incidente del genere è tenere d'occhio il phishing mirato e trattare con sospetto la corrispondenza di lavoro inattesa, invece di ricorrere a un rimedio tecnico che qui non si applica.