Une fuite PNLD au Royaume-Uni a conduit à la publication sur le dark web d’informations de contact liées à la police et à des organisations gouvernementales. Selon les confirmations du service concerné, des noms, des structures et des adresses email professionnelles ont été compromis, ce qui peut faciliter des tentatives de fraude plus convaincantes.
L’incident, identifié le 26 juillet, a aussi touché des utilisateurs ayant posé des questions via le service « Ask the Police ». À ce stade, les autorités et les organismes impliqués indiquent travailler à l’évaluation de l’impact, sans que le volume exact des personnes concernées ait été rendu public.
Qu’est-ce que la base PNLD et quelles données ont été exposées ?
La Police National Legal Database (PNLD) est un service qui fournit aux forces de police et aux acteurs de la justice pénale des informations juridiques, ainsi que des produits et services associés. Il ne s’agit pas du Police National Computer, ni d’un système de saisie d’antécédents criminels, et PNLD précise ne pas conserver d’informations confidentielles sur des victimes, des témoins ou des auteurs.
D’après PNLD, les données publiées incluent notamment :
- des noms d’agents et de personnels de police ;
- des organisations auxquelles ces personnes appartiennent ;
- des adresses email professionnelles (travail) ;
- des informations concernant des partenaires et des clients.
Le service signale également que certaines informations liées aux personnes ayant soumis des questions via « Ask the Police » ont été exposées. Le gouvernement britannique souligne que ce type de données peut rendre des messages d’hameçonnage (phishing) plus crédibles, en intégrant des éléments nominaux difficiles à deviner.
Pas de preuve de compromission de mots de passe
Un point important communiqué par PNLD : il n’existerait « aucune preuve » indiquant que des mots de passe ou d’autres identifiants de sécurité aient été compromis.
Cette précision ne réduit pas le risque global : même sans vol de credentials, la divulgation d’identités et d’emails professionnels peut permettre aux fraudeurs de préparer des campagnes ciblées, de personnaliser leurs messages et d’améliorer leurs taux de réussite.
Pourquoi la fuite PNLD augmente le risque de phishing
Lorsque des informations nominatives et des adresses de travail sont accessibles, les attaques deviennent souvent plus efficaces. Dans le cas de cette fuite PNLD, l’exposition de données associées à « Ask the Police » peut aider des attaquants à :
- cibler des personnes nommées plutôt que des adresses prises au hasard ;
- réutiliser des éléments contextuels (service, rôle, organisation) ;
- donner l’impression que le message provient d’une source légitime.
Autrement dit, même si l’accès initial a porté sur des informations de contact, l’exploitation peut viser ensuite l’utilisateur final via des liens, pièces jointes ou demandes frauduleuses.
Réponse et coordination : ICO, NCA et partenaires cyber
PNLD indique avoir contacté les organisations concernées et leur avoir transmis des informations complémentaires et des recommandations. Les utilisateurs ayant été impliqués via « Ask the Police » auraient déjà reçu un email contenant davantage de conseils.
En parallèle, PNLD mentionne avoir notifié le Information Commissioner’s Office (ICO), et travailler avec la National Crime Agency (NCA) ainsi qu’avec des organisations spécialisées en cybersécurité.
Au 3 août 2026, le service n’avait pas encore publié :
- le nombre exact de personnes touchées ;
- le moment de début de l’intrusion ;
- la durée d’accès ;
- le volume complet d’informations extrait.
La notice officielle décrit les champs exposés, mais ne fournit pas un total de victimes.
Quel impact réel ? Le chiffre de base d’utilisateurs n’est pas le nombre de victimes
Dans son résumé annuel 2025-26, PNLD mentionne 108 429 inscriptions de police et un support pour l’ensemble des 43 forces policières affiliées au Home Office. Toutefois, PNLD précise que ce chiffre correspond à une base d’utilisateurs et ne constitue pas un décompte des personnes affectées par la fuite.
Cette distinction est cruciale : un incident peut toucher une fraction des comptes, certains champs seulement, ou un sous-ensemble de dossiers. À l’inverse, sans divulgation publique chiffrée, il est difficile d’estimer l’ampleur exacte.
Technologies à l’origine du risque : Power Platform et hypothèses de configuration
Selon le résumé annuel 2023-24 de PNLD, la base repose sur une technologie Microsoft Power Platform. Des éléments examinés ont montré que la page de notification du bris de données renvoyait vers des actifs hébergés sur le domaine content.powerapps.com.
Cette observation confirme un lien avec la plateforme, mais ne prouve pas à elle seule la manière exacte dont l’accès a été obtenu.
Le scénario le plus plausible reste une hypothèse
Des analyses menées sur des échantillons associés à des victimes supposées ont relevé des structures cohérentes avec Dataverse. Dans un cas étudié, un portail public renvoyait des enregistrements sans authentification, et ces enregistrements semblaient correspondre à des données publiées par le groupe.
Sur cette base, un scénario a été proposé : une interface Power Pages accessible au public (avec un niveau d’accès large pour des « utilisateurs anonymes ») pourrait avoir exposé des tables Dataverse, via une configuration particulière.
Ce que disent les bonnes pratiques Microsoft
La documentation Microsoft indique qu’accorder au rôle « Anonymous Users » l’accès à une table peut rendre ces données visibles à toute personne consultant le site. Les documents sur l’interface Web API précisent aussi que des règles de permissions s’appliquent à chaque rôle web.
Autrement dit : si les permissions côté table et les paramètres d’API laissent une ouverture, un contenu peut être récupéré sans authentification.
Pourquoi la cause racine PNLD n’est pas encore établie
À ce stade, les éléments disponibles ne permettent pas de conclure que toutes les organisations auraient été touchées via la même configuration ou via le même type d’accès. Un point notable : ni la notice de PNLD ni les analyses publiques ne mentionnent d’endpoint propre à PNLD, de route d’API spécifique, de paramètre de permission clairement identifiable, ni de logs détaillés permettant d’établir une trajectoire de compromission de bout en bout.
Les analystes considèrent donc que le lien « Power Pages » doit être traité comme une piste à vérifier, pas comme une explication confirmée du mécanisme initial.
Mesures à vérifier : permissions anonymes, API et OData
Pour les opérateurs utilisant des sites ou composants construits sur Power Pages, les recommandations qui ressortent de ces analyses sont pragmatiques :
- revoir les permissions accordées aux tables pour « Anonymous Users » ;
- contrôler les réglages liés à la Web API ;
- vérifier les flux OData hérités si elles sont activées ;
- tester l’accès depuis une session navigateur sans authentification.
L’objectif est de détecter le schéma de configuration qui pourrait rendre des données récupérables par des parties non autorisées, tout en conservant la possibilité d’envoyer des formulaires publics lorsque c’est nécessaire.
Ce que l’on sait sur les acteurs : pas d’attribution formelle
Une entrée sur un site de fuite liste PNLD dès le 26 juillet. Cependant, PNLD n’a pas attribué l’incident à un groupe précis. Les analyses consultées ne montrent pas non plus d’indications de déploiement de ransomware, d’utilisation de logiciels malveillants, de mouvements latéraux, ou d’exploitation d’une vulnérabilité applicative identifiée dans le matériel analysé.
En clair : les informations disponibles décrivent davantage une exposition de données que l’exécution de capacités d’attaque étendues, mais l’enquête demeure incomplète sur l’ensemble des paramètres.
Ce que les organisations peuvent retenir dès maintenant
La fuite PNLD montre comment une mauvaise configuration ou une exposition non contrôlée de données peut produire des conséquences concrètes, même sans preuve de vol de mots de passe. Les organisations concernées, notamment celles impliquées dans des parcours publics (portails, formulaires, services d’information), peuvent s’appuyer sur trois priorités :
- Réduire l’exposition : limiter strictement ce qui est visible sans authentification.
- Renforcer la validation : vérifier les permissions au niveau des tables et des API.
- Préparer les utilisateurs : sensibiliser aux risques de phishing avec des messages potentiellement personnalisés.
En attendant la publication d’informations complémentaires sur l’ampleur de l’incident, la vigilance reste le meilleur levier pour limiter les tentatives frauduleuses qui pourraient suivre la diffusion de ces données.
Source: https://thehackernews.com/2026/08/pnld-breach-exposes-uk-police-and.html
