Violação na base jurídica da polícia britânica: 135.000 registos

Um serviço de consulta jurídica usado por todas as forças policiais de Inglaterra e do País de Gales confirmou que os seus registos foram roubados e despejados num site de fugas na dark web. A Police National Legal Database não guarda processos nem registos criminais e, ainda assim, a violação expôs cerca de 135.000 registos. Entre os afetados estão cidadãos comuns cujo único deslize foi fazer uma pergunta à polícia.

O que foi realmente levado

A Police National Legal Database, abreviada PNLD, é gerida pela polícia de West Yorkshire e funciona como base de conhecimento jurídico para agentes e pessoal da justiça criminal em todo o Reino Unido. A intrusão foi detetada a 26 de julho de 2026 e, pouco depois, um grupo autodenominado ExfilSquad publicou amostras no seu site de fugas. A PNLD confirmou publicamente o roubo a 3 de agosto.

• 114.000 registos: contas de subscritores pertencentes a agentes da polícia e a outros profissionais da justiça criminal.
• 21.000 registos: nomes e endereços de email de pessoas que usaram o Ask the Police, o serviço público onde qualquer pessoa pode colocar uma questão à polícia.
• 1,9 GB: o volume reivindicado pelo ExfilSquad, que o descreve como cerca de 135.000 contactos.
• Os campos: nomes completos, endereços de email profissionais e a organização onde cada pessoa trabalha.

Quem consta do ficheiro

Como a PNLD serve todo o sistema de justiça criminal e não uma única força, o universo de afetados é invulgarmente amplo. Segundo o que foi publicado, entram as 43 forças policiais de Inglaterra e do País de Gales dependentes do Ministério do Interior, além da British Transport Police, e há registos que chegam ao Ministério da Defesa, ao Ministério do Interior, à Crown Prosecution Service e à National Crime Agency.

A investigação é conduzida pela North East Regional Organised Crime Unit, com apoio de empresas especializadas em cibersegurança e da própria National Crime Agency, um arranjo incómodo tendo em conta que há pessoal da agência entre as pessoas cujos dados foram publicados. A autoridade britânica de proteção de dados, a ICO, foi notificada.

O que não foi levado, e porque isso importa

Numa história de fuga de dados a precisão corta para os dois lados, e várias coisas não ficaram expostas. A PNLD afirma que não há indícios de que palavras-passe ou outras credenciais de segurança tenham sido comprometidas. Nenhuma informação confidencial sobre vítimas, testemunhas ou infratores foi envolvida, porque a base simplesmente não guarda esse material. Também não foi recebido qualquer pedido de resgate, o que por si só é notável e sugere um grupo interessado em reputação ou revenda mais do que em extorsão.

Porque vale alguma coisa uma lista de emails policiais

As bases de dados de consumidores roubadas costumam ser rentabilizadas a granel. Um diretório de pessoal da justiça funciona de outra forma: é pequeno, verificado e específico. Mostra quem trabalha onde, sobrevive a qualquer mudança de palavras-passe e continua útil durante anos, porque endereços profissionais e empregadores mudam devagar. Para quem prepara engenharia social contra uma força policial, ou simplesmente quer identificar agentes, essa estrutura vale mais do que um despejo muito maior de contas de lojas online.

Existe aqui um segundo grupo de que se fala muito menos. O Ask the Police existe precisamente para que alguém possa perguntar sobre os seus direitos, um litígio ou um incidente sem entrar numa esquadra. Quem o usou podia razoavelmente esperar que a pergunta ficasse entre si e o serviço. Os seus endereços estão agora no mesmo ficheiro que os dos agentes.

O que uma pessoa pode fazer e o que não pode

A parte incómoda é o pouco que dependia dos próprios visados. Ninguém escolheu constar da PNLD: os agentes foram inscritos pela entidade empregadora e o público usou um serviço oferecido pela própria polícia. Não havia definição de privacidade para apertar, nem conta para apagar por precaução, nem forma de auditar como esses dados eram guardados.

É também aí que passa o limite do que uma ferramenta de rede resolve. Cifrar a ligação protege o que circula entre o aparelho e o serviço e não muda nada numa base que já contém um nome e um empregador. Por isso a resposta prática a um incidente destes é vigiar o phishing dirigido e tratar com desconfiança a correspondência profissional inesperada, em vez de recorrer a um remédio técnico que aqui não se aplica.