A Police National Legal Database (PNLD), base nacional de dados jurídicos da polícia do Reino Unido, confirmou que informações de contato de policiais, integrantes do governo e clientes foram comprometidas e publicadas na dark web.
Os dados incluíam nomes, órgãos e endereços de e-mail profissionais pertencentes a policiais, funcionários da polícia, profissionais da justiça criminal, parceiros governamentais e clientes.
O incidente, identificado em 26 de julho, também expôs alguns nomes e endereços de e-mail de pessoas que haviam enviado perguntas pelo serviço Ask the Police ("Pergunte à Polícia"). Essa exposição pode tornar mais convincentes mensagens de phishing (golpes por e-mail) direcionadas a policiais identificados nominalmente, de acordo com orientações do governo do Reino Unido.
A PNLD afirmou: "Não há indícios de que senhas ou outras credenciais de segurança tenham sido comprometidas". O serviço fornece informações, produtos e serviços jurídicos às forças policiais do Reino Unido e a organizações da justiça criminal. Não se trata do Police National Computer (Computador Nacional da Polícia) nem do Police National Database (Banco de Dados Nacional da Polícia), não é um sistema de registro de crimes e não armazena informações confidenciais sobre vítimas, testemunhas ou infratores.
A PNLD informou que contatou todos os órgãos afetados e forneceu mais informações e orientações. Os usuários afetados do Ask the Police já receberam um e-mail com informações e orientações adicionais. O serviço notificou o Information Commissioner's Office (ICO, Escritório do Comissário de Informações) e está trabalhando com a National Crime Agency (NCA, Agência Nacional de Crimes) e com organizações especializadas em cibersegurança.
Até 3 de agosto de 2026, o serviço não havia divulgado publicamente quantas pessoas foram afetadas, quando a intrusão começou, quanto tempo o acesso durou, nem qual o volume de informações obtido.
O aviso oficial de violação da PNLD descreve os campos expostos, mas não apresenta um total de vítimas. Em seu resumo anual de 2025-26, a PNLD relatou 108.429 cadastros policiais e suporte às 43 forças policiais do Home Office (Ministério do Interior britânico). Trata-se de um número referente à base de usuários, e não de uma contagem de vítimas do vazamento.
No resumo anual de 2023-24, a PNLD afirmou que o banco de dados utiliza tecnologia da Microsoft Power Platform, plataforma de baixo código da Microsoft. O The Hacker News confirmou em 3 de agosto de 2026 que a página do aviso de violação fazia referência a ativos hospedados no domínio content.powerapps.com, da Microsoft. Isso corrobora a conexão com a plataforma, mas não mostra como o atacante obteve os dados.
A VenariX analisou amostras associadas a 11 das 15 vítimas reivindicadas pelo grupo ExfilSquad e encontrou estruturas compatíveis com o Dataverse, serviço de armazenamento de dados em baixo código da Microsoft, em todas as 11. No caso de Houston, a empresa confirmou que um portal público retornou registros sem autenticação e que esses registros eram compatíveis com os dados publicados pelo grupo.
A VenariX avaliou que o caminho mais provável, em nível de campanha, foi um site público do Power Pages (plataforma da Microsoft para criação de portais) com acesso amplo de usuários anônimos a tabelas do Dataverse. O caminho também exigia uma Web API (interface de programação de aplicações web) do Power Pages habilitada ou um feed OData (protocolo aberto de consulta de dados) legado.
A documentação da Microsoft afirma que conceder à função Anonymous Users (Usuários Anônimos) acesso a uma tabela torna seus dados visíveis a qualquer visitante do site. A documentação da Web API informa que a interface /_api segue as permissões de tabela anexadas a cada função web.
A VenariX afirmou que as evidências "ainda não confirmam que todas as organizações tenham sido afetadas por um portal exposto do Power Apps ou pelo mesmo problema de configuração". Até 3 de agosto de 2026, nem o aviso da PNLD nem o relatório da VenariX identificaram um endpoint (ponto de acesso de serviço), configuração de permissão, rota de API ou log de suporte específico da PNLD.
Neste estágio, o vínculo com o Power Pages permanece como uma hipótese a ser testada, e não como uma explicação do vazamento da PNLD.
A Microsoft oferece um controle de governança em nível de tenant (espaço organizacional na nuvem da Microsoft) que impede que usuários não autenticados leiam dados do Dataverse, mas ainda permite o envio público de formulários.
A VenariX recomenda que os operadores do Power Pages também revisem as permissões de tabela de usuários anônimos, as configurações da Web API e os feeds OData legados, e então validem o acesso a partir de uma sessão de navegador não autenticada. Essas medidas tratam do padrão de configuração identificado pela VenariX, e não de uma causa raiz confirmada do incidente na PNLD.
O ExfilSquad listou a PNLD em seu site de vazamentos em 26 de julho, mas a PNLD não atribuiu o incidente ao grupo. A VenariX não encontrou indícios de implantação de ransomware (software de extorsão que cifra dados e exige resgate), uso de malware (software malicioso), movimento lateral (técnica de invasão que se propaga pela rede) ou exploração de vulnerabilidade de software no material de campanha que analisou.
A PNLD não divulgou publicamente a rota exata de acesso, o número de pessoas únicas afetadas nem o volume total de dados publicado.
