ACRO bị khiển trách vì lỗ hổng bảo mật làm lộ dữ liệu nhạy cảm
"The UK criminal records office ACRO suffered a prolonged intrusion into its website and Kentico CMS after failing to apply patches and hotfixes, with attackers maintaining access from August 2022 to March 2023. The incident potentially exposed data for up to 10,920 people, including names, addresses, passport and driving licence details, bank account information, biometric data, and sensitive criminal record information; the ICO issued a reprimand rather than a fine, and ACRO later improved monitoring, segmentation, and migrated to Salesforce Experience Cloud."
Rủi ro rò rỉ dữ liệu nhạy cảm ở mức cao; lỗ hổng chưa vá và giám sát yếu cho phép truy cập kéo dài; không thể xác minh exfiltration do logging kém.
Ảnh hưởng uy tín và tuân thủ đáng kể; có thể phát sinh khiếu nại của người dùng và chi phí khắc phục; tác động vận hành được giảm bớt nhờ phân đoạn mạng và thay đổi nền tảng.
Cơ quan hồ sơ tội phạm của Anh ACRO đã bị ICO khiển trách sau một sự cố an ninh kéo dài, trong đó kẻ tấn công duy trì quyền truy cập vào website và Kentico CMS từ 08/2022 đến 03/2023. Theo kết luận của cơ quan quản lý, nguyên nhân chính là không vá lỗi và không áp dụng hotfix trong thời gian dài, cùng với việc thiếu rõ ràng về trách nhiệm giữa ACRO và nhà cung cấp dịch vụ quản lý.
Sự cố có thể ảnh hưởng tới dữ liệu của tối đa 10.920 người, bao gồm tên, địa chỉ, số hộ chiếu, giấy phép lái xe, thông tin tài khoản ngân hàng, dữ liệu sinh trắc học và thông tin án tích nhạy cảm. ICO cho biết không thể xác định chắc chắn dữ liệu có bị trích xuất hay không do ghi log kém và quy trình xử lý cảnh báo chưa đầy đủ. Trước đó, hệ thống Trend Micro đã phát sinh cảnh báo nhưng không được theo dõi hiệu quả.
Sau sự cố, ACRO đã cải thiện giám sát, phân đoạn mạng, tăng cường bảo vệ hệ thống và chuyển sang Salesforce Experience Cloud. Với các tổ chức vận hành cổng thông tin công khai, vụ việc cho thấy cần có quy trình vá lỗi rõ ràng, phân công trách nhiệm cụ thể và theo dõi cảnh báo an ninh liên tục.