Ver el código de «PNLD Data Breach: Exposición de Datos de Más de 100,000 Oficiales de Policía del Reino Unido en la Dark Web (2026)»

== Nombres Alternativos / Aliases ==

* PNLD Data Breach (Por la base de datos afectada)
* UK Police Database Leak (Por el sector afectado)
* ExfilSquad PNLD Attack (Por el grupo responsable)
* Ask the Police Data Exposure (Por el servicio público afectado)
* Microsoft Power Pages Misconfiguration Breach (Por la causa técnica probable)

----

== Fecha de Detección / Actividad ==

* Fecha de detección: 26 de julio de 2026 
* Publicación en dark web: 26 de julio de 2026 (ExfilSquad) 
* Confirmación oficial (PNLD) : 2-3 de agosto de 2026 
* Datos expuestos: Nombres, organizaciones y direcciones de correo electrónico de trabajo 
* Estado: Activa (los datos permanecen publicados en la dark web; la investigación continúa)

----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Característica
!Detalle
|-
|Nombre del Actor
|ExfilSquad (grupo de extorsión de datos) 
|-
|Vínculo Gubernamental
|Ninguno
|-
|Tipo de Actor
|Ciberdelincuencia / Extorsión de datos
|-
|Sofisticación
|MEDIA. El grupo demuestra:
|}

* Explotación de configuraciones incorrectas en Microsoft Power Pages 
* Campaña de extorsión sin despliegue de ransomware o malware 
* Publicación de datos en sitios de filtraciones en la dark web |  | Motivación | Financiera (extorsión)  |  | Víctimas reclamadas | 15 organizaciones (incluyendo PNLD y Analog Devices)  |

----

== Resumen Ejecutivo ==
El 26 de julio de 2026, el grupo de extorsión de datos ExfilSquad reclamó la autoría de un ciberataque contra la Police National Legal Database (PNLD) del Reino Unido, exponiendo los datos de contacto de más de 100,000 oficiales de policía, personal de justicia penal y socios gubernamentales en la dark web .

=== El alcance del incidente ===
{| class="wikitable"
!Descubrimiento
!Detalle
|-
|Datos expuestos
|Nombres, organizaciones y direcciones de correo electrónico de trabajo 
|-
|Usuarios PNLD afectados
|Aproximadamente 114,000 suscriptores 
|-
|Usuarios de Ask the Police
|Aproximadamente 21,000 ciudadanos que enviaron preguntas 
|-
|Tamaño del archivo filtrado
|1.9 GB (datos sin comprimir) 
|-
|Fuerzas policiales afectadas
|Las 43 fuerzas policiales de Inglaterra y Gales 
|}

=== Datos expuestos por institución ===
{| class="wikitable"
!Institución
!Número de afectados
|-
|PNLD
|~114,000 suscriptores 
|-
|Ask the Police (público)
|~21,000 usuarios 
|-
|Crown Prosecution Service (CPS)
|2,615 empleados 
|-
|Home Office
|617 empleados 
|-
|National Crime Agency (NCA)
|588 empleados 
|-
|Ministry of Defence
|402 empleados 
|}

=== Lo que NO se expuso ===
PNLD ha confirmado que:

* No hay evidencia de que contraseñas u otras credenciales de seguridad hayan sido comprometidas 
* El sistema no contiene información confidencial sobre víctimas, testigos o delincuentes 
* El PNLD no es el Police National Computer ni el Police National Database 

=== El riesgo para los oficiales ===
El sindicato de policía ha expresado su preocupación por la seguridad de los oficiales :<blockquote>''"I have worked in serious organised crime and put high-level criminals behind bars. For private information to be leaked about me is very disconcerting and puts officers at serious risk."''

— Un oficial afectado por la filtración </blockquote><blockquote>''"This reported breach raises serious concerns for officer and staff safety. At a time when cyber threats are becoming increasingly sophisticated, [the police] and its partners must be properly funded to ensure the strongest possible cyber security protections are in place."''

— Tiff Lynch, Presidenta del Sindicato de Policía </blockquote>

=== La respuesta de ExfilSquad ===
<blockquote>''"Once your company's data is posted here, it's NEVER leaving the public eye, and it will be passed around the internet FOREVER. The payment we request of you is simply a rounding error compared to the litigation costs of your data leaking. Be smart and just pay."''

— Mensaje de ExfilSquad </blockquote>
----

== Vector de Ataque / Método de Distribución ==

=== La hipótesis de VenariX: Configuración incorrecta de Power Pages ===
La firma de ciberseguridad VenariX analizó los datos filtrados de 11 de las 15 víctimas de ExfilSquad y encontró estructuras consistentes con Microsoft Dataverse en todos los casos .
{| class="wikitable"
!Evidencia
!Detalle
|-
|Plataforma confirmada
|PNLD utiliza Microsoft Power Platform (según su resumen anual 2023-24) 
|-
|Referencia en el aviso
|La página de notificación de PNLD hace referencia a <code>content.powerapps.com</code> 
|-
|Estructura de datos
|Los datos expuestos son consistentes con extracción de tablas de Dataverse 
|}

=== El flujo probable del ataque ===
VenariX describe el escenario más probable :
{| class="wikitable"
!Paso
!Descripción
|-
|1.
|Portal público de Power Pages configurado con permisos de lectura amplios para usuarios anónimos
|-
|2.
|Habilitación de la Web API de Power Pages o del legacy OData feed
|-
|3.
|Los usuarios anónimos pueden consultar tablas de Dataverse a través de <code>/_api/<EntitySetName></code>
|-
|4.
|Exfiltración masiva de datos de contacto a través de la API expuesta
|}
<blockquote>''"The reviewed data is most consistent with extraction from public Microsoft Power Pages portals that were configured to allow anonymous users to read Dataverse records."''

— VenariX </blockquote>

=== Importante: No confirmado como causa definitiva ===
Aunque la hipótesis de Power Pages es consistente con la evidencia, no se ha confirmado como la causa raíz definitiva del incidente :<blockquote>''"At this stage, the Power Pages link remains a hypothesis to test rather than an explanation of the PNLD breach."''

— VenariX </blockquote>
----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Exploit Public-Facing Application (T1190)
|Acceso a portal público de Power Pages con permisos excesivos 
|-
|Collection (TA0009)
|Data from Information Repositories (T1213)
|Extracción de datos de tablas de Dataverse 
|-
|Collection (TA0009)
|Data from Cloud Storage (T1530)
|Extracción de datos de Microsoft Power Platform 
|-
|Exfiltration (TA0010)
|Exfiltration Over Web Service (T1567)
|Publicación de datos en sitio de filtraciones en la dark web 
|-
|Impact (TA0040)
|Data Manipulation (T1565)
|Publicación de datos personales de oficiales 
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Alcance
|MUY ALTO
|>100,000 oficiales de policía y personal de justicia 
|-
|Riesgo de phishing
|MUY ALTO
|Combinación de nombre, organización y correo electrónico para ataques dirigidos 
|-
|Riesgo de seguridad física
|ALTO
|Oficiales que han trabajado en casos de crimen organizado 
|-
|Riesgo institucional
|ALTO
|Daño reputacional a las fuerzas policiales del Reino Unido
|-
|Impacto en ciudadanos
|ALTO
|21,000 ciudadanos que usaron Ask the Police expuestos 
|}

=== Consecuencias específicas ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Phishing dirigido a oficiales
|Crítica
|Los atacantes pueden usar datos reales para engañar a oficiales 
|-
|Riesgo de seguridad para oficiales
|Crítica
|Oficiales en casos de crimen organizado expuestos 
|-
|Suplantación de identidad
|Alta
|Uso de correos electrónicos institucionales para ataques de ingeniería social
|-
|Compromiso de confianza pública
|Alta
|Ciudadanos que contactaron a la policía expuestos
|}
----

== Recomendaciones de Mitigación ==

=== Para PNLD y organizaciones similares ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Revisar configuraciones de Power Pages
|CRÍTICA
|Revisar permisos de tabla para Usuarios Anónimos y configuraciones de Web API 
|-
|Validar acceso sin autenticación
|CRÍTICA
|Probar el acceso desde una sesión de navegador no autenticada 
|-
|Bloquear lectura de Dataverse sin autenticación
|ALTA
|Configurar control a nivel de inquilino que bloquee el acceso no autenticado mientras permite envíos de formularios públicos 
|-
|Auditar logs de acceso
|ALTA
|Buscar patrones de exportación masiva o acceso inusual a tablas 
|-
|Rotar secretos e integraciones
|ALTA
|Rotar secretos y principales de servicio conectados a portales expuestos 
|}

=== Para oficiales de policía y personal afectado ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Tratar correos con precaución
|CRÍTICA
|Verificar la autenticidad de cualquier comunicación inesperada 
|-
|Habilitar MFA
|ALTA
|Autenticación multifactor en todas las cuentas de trabajo
|-
|Reportar actividad sospechosa
|ALTA
|Reportar cualquier correo o llamada sospechosa al equipo de seguridad interno
|}

=== Recomendaciones generales de VenariX ===
{| class="wikitable"
!Acción
!Descripción
|-
|Auditar aplicaciones low-code públicas
|Revisar permisos de acceso anónimo, tablas abiertas y APIs expuestas en Power Pages/Dataverse 
|-
|Limitar usuarios anónimos
|Restringir al mínimo el conjunto de datos accesible; deshabilitar APIs, feeds y conectores no utilizados 
|-
|Monitorear patrones de exportación masiva
|Buscar acceso inusual a grandes conjuntos de datos desde portales 
|}
----

== Contexto Más Amplio: Campaña de ExfilSquad ==
{| class="wikitable"
!Víctima
!Sector
!Fecha
!Estilo de ataque
|-
|PNLD
|Policía del Reino Unido
|Julio 2026
|Power Pages misconfiguration 
|-
|Analog Devices
|Semiconductores
|Julio 2026
|Power Pages misconfiguration 
|-
|Houston
|Gobierno
|Julio 2026
|Power Pages misconfiguration 
|-
|Department for Education (DfE)
|Gobierno del Reino Unido
|Julio 2026
|607,000 registros expuestos 
|}
<blockquote>''"VenariX found no evidence of ransomware deployment, malware use or lateral movement in the campaign material it examined."'' </blockquote>
----

== Opiniones de Expertos ==
<blockquote>''"The reviewed data is most consistent with extraction from public Microsoft Power Pages portals that were configured to allow anonymous users to read Dataverse records."''

— VenariX </blockquote><blockquote>''"Power Pages misconfiguration, not an inherent vulnerability like CVE-2025-24989, is the likeliest explanation for the breach."'' </blockquote><blockquote>''"A likely flow is: Public Power Pages portal → Anonymous Users web role → Broad table permission → Power Pages Web API or legacy OData feed → Dataverse data export."''

— VenariX </blockquote><blockquote>''"For any organization running Microsoft Power Pages: VenariX recommends reviewing Anonymous Users table permissions, Web API settings, and legacy OData feeds, then validating access from an unauthenticated browser session."'' </blockquote>
----

== Referencias y Fuentes ==

# Anadolu Ajansı. (2026, 2 de agosto). ''Personal data of 100,000 UK police officers leaked on dark web''. 
# The Hacker News. (2026, 2 de agosto). ''PNLD Breach Exposes U.K. Police and Government Contact Details on Dark Web''. 
# HivePro. (2025, 24 de febrero). ''Microsoft Power Pages CVE-2025-24989 Vulnerability Report''. 
# Daily Express. (2026, 2 de agosto). ''Police and public 'at serious risk' after website leak''. 
# BleepingComputer. (2026, 3 de agosto). ''ExfilSquad hackers leak info of over 100,000 UK police officers, staff''. 
# Cyber Web Spider. (2026, 3 de agosto). ''PNLD Breach Exposes UK Contacts''. 
# SecNews.gr. (2026, 3 de agosto). ''PNLD Breach: 114,000 Police Officers Exposed on the Dark Web''. 
# TRT Balkan. (2026, 3 de agosto). ''Zbulohen të dhënat e 100 mijë policëve britanikë''. 
# CyberSixt. (2026, 3 de agosto). ''UK Police National Legal Database leak exposes officers' contact details''. 
# Arab Times. (2026, 3 de agosto). ''Personal Data of 100,000 UK Police Officers Leaked on Dark Web''. 
# Free Malaysia Today. (2026, 3 de agosto). ''Data of 100,000 UK police officers leaked on dark web''. 

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-08-03
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en informes de Anadolu Ajansı, The Hacker News, BleepingComputer, SecNews.gr y otros
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Grupos de amenazas ===
{| class="wikitable"
!Tipo
!Detalle
|-
|Grupo responsable
|ExfilSquad 
|-
|Sitio de filtraciones
|Dark web (no se ha publicado la URL específica)
|}

=== Plataformas y configuraciones ===
{| class="wikitable"
!Tipo
!Detalle
|-
|Plataforma afectada
|Microsoft Power Pages / Power Platform 
|-
|Datos expuestos
|Tablas de Microsoft Dataverse 
|-
|Vector probable
|Permisos de tabla para Usuarios Anónimos en Power Pages 
|}

=== Datos expuestos ===
{| class="wikitable"
!Tipo
!Detalle
|-
|Nombres
|Oficiales, personal y ciudadanos
|-
|Organizaciones
|Fuerzas policiales, CPS, Home Office, NCA, MoD 
|-
|Correos electrónicos
|Direcciones de correo electrónico de trabajo
|}
----

== Etiquetas / Categorías ==
 pnld-data-breach exfilsquad-uk-police-cyberattack uk-police-officers-data-leaked powerpages-misconfiguration pnld-askthepolice-breach microsoft-dataverse-exposure law-enforcement-data-breach national-crime-agency-investigation