PNLD 数据泄露事件曝光英国警方及政府联系人信息至暗网
导语：英国警察国家法律数据库（PNLD）确认其警方、政府及客户联系信息遭泄露并被发布至暗网，泄露内容可能被用于针对具名警官的钓鱼攻击。
事件概述
英国警察国家法律数据库（Police National Legal Database，简称 PNLD）已确认其警方、政府及客户联系信息遭到泄露，并被发布至暗网。泄露数据范围包括警官、警务人员、刑事司法专业人员、政府合作伙伴以及客户的姓名、所属机构和工作邮箱地址。
事件时间线与影响范围
该事件于 7 月 26 日被发现，同时还泄露了部分通过 Ask the Police 提交问题的个人姓名与邮箱地址。根据英国政府发布的指引，这些信息可能被利用，使针对具名警官的钓鱼邮件看起来更具可信度。PNLD 在声明中表示：「目前没有证据表明密码或其他安全凭证遭到泄露。」该服务为英国警察部队和刑事司法组织提供法律信息、产品和服务，但它既不是警察国家计算机（Police National Computer），也不是警察国家数据库（Police National Database），不作为犯罪记录系统使用，也不保存关于受害者、证人或罪犯的机密信息。
应急响应与处置措施
PNLD 表示已联系所有受影响的组织，并提供了进一步的信息与指引。受影响的 Ask the Police 用户已收到包含更多信息与建议的邮件。PNLD 已向信息专员办公室（Information Commissioner's Office，ICO）通报事件，并正与国家犯罪局（National Crime Agency，NCA）以及专业网络安全组织合作。截至 2026 年 8 月 3 日，PNLD 尚未公开披露受影响人数、入侵起始时间、攻击者访问持续时长或被窃取信息总量。
用户规模与平台背景
PNLD 的官方泄露通知列出了被暴露的字段，但未提供受害者总数。PNLD 在其 2025-26 年度总结中报告了 108,429 次警察注册，并为内政部下属全部 43 支警察部队提供支持；该数字反映用户基数，并非本次泄露的受害者人数。PNLD 在 2023-24 年度总结中提到该数据库采用 Microsoft Power Platform 技术。The Hacker News 于 2026 年 8 月 3 日确认，其泄露通知页面引用了托管于 content.powerapps.com（微软域名）下的资产，这一事实印证了与该平台的关联，但并未显示攻击者获取数据的具体路径。
VenariX 的调查分析
VenariX 审查了 ExfilSquad 所声称的 15 个受害方中的 11 个相关样本，在全部 11 个样本中发现了与 Dataverse 一致的数据结构。在休斯顿案例中，VenariX 确认一个公共门户可在无认证的情况下返回记录，且这些记录与该组织公开发布的数据相符。VenariX 评估认为，活动级别的可能入侵路径是：一个面向公众开放的 Power Pages 站点，对 Dataverse 表具有广泛的 Anonymous Users 访问权限；该路径需要启用 Power Pages Web API 或旧版 OData 源。
Microsoft 平台的安全机制
Microsoft 官方文档指出，向 Anonymous Users 角色授予对某张表的访问权限，会使访问该站点的任何人都能看到该表的数据。其 Web API 文档说明，`/_api` 接口遵循附加于每个 Web 角色的表权限。VenariX 表示，现有证据「尚未证实每个组织都是通过暴露的 Power Apps 门户或同一配置问题而受到影响」。截至 2026 年 8 月 3 日，PNLD 的通知与 VenariX 的报告均未识别出 PNLD 专属的端点、权限设置、API 路由或支持日志。现阶段，Power Pages 关联仍是一个有待验证的假设，而非对 PNLD 泄露事件的完整解释。
防护建议与治理控制
Microsoft 提供了一项租户级别的治理控制，可在允许公共表单提交的同时，拦截未经认证的用户读取 Dataverse 数据。VenariX 建议 Power Pages 运营方同时审查 Anonymous Users 表权限、Web API 设置以及旧版 OData 源，并从一段未经认证的浏览器会话验证访问行为。这些措施针对的是 VenariX 所识别的配置模式，而非已确认的 PNLD 泄露根本原因。
攻击者归属与未解疑点
ExfilSquad 于 7 月 26 日在其泄露站点上列出了 PNLD，但 PNLD 尚未将该事件归因于该组织。VenariX 在其审查的活动资料中未发现勒索软件部署、恶意软件使用、横向移动或软件漏洞被利用的证据。PNLD 尚未公开披露确切的访问路径、独立的受影响人数或被发布数据的完整规模。
来源信息
来源：The Hacker News
原文链接：https://thehackernews.com/2026/08/pnld-breach-exposes-uk-police-and.html
作者：info@thehackernews.com (The Hacker News)
