De PNLD-breuk heeft geleid tot het publiceren van contactgegevens van politie en overheid op het dark web. Volgens PNLD zijn daarbij onder meer namen, organisatienamen en werk e-mailadressen van verschillende doelgroepen zichtbaar geworden. Het incident werd op 26 juli geïdentificeerd.
Wat extra aandacht vraagt, is het type informatie dat is gelekt. Omdat het gaat om gegevens die direct gekoppeld zijn aan specifieke personen en instanties, kan dit phishingberichten geloofwaardiger maken. Tegelijkertijd geeft PNLD aan dat er geen aanwijzingen zijn dat wachtwoorden of andere beveiligingscredentials zijn blootgelegd.
Welke gegevens zijn volgens PNLD gelekt?
PNLD bevestigt dat contactinformatie is gecompromitteerd en vervolgens gepubliceerd. De gegevens omvatten onder andere:
- namen van politiefunctionarissen en politiepersoneel
- namen van organisaties
- werk e-mailadressen
Daarnaast zijn ook contactgegevens van mensen geraakt die vragen hebben ingestuurd via Ask the Police. Het VK waarschuwt dat aanvallen die zich richten op specifiek genoemde personen, effectiever kunnen zijn. Als een aanvaller een bericht kan personaliseren met echte namen en rollen, ziet het er vaak overtuigender uit.
PNLD noemt bovendien expliciet dat er geen bewijs is dat wachtwoorden of andere beveiligingsgegevens zijn gecompromitteerd. Het gaat om een dienst voor juridische informatie, producten en services voor politiediensten en organisaties in de strafrechtketen.
Is dit hetzelfde als andere politie-databanken?
In de berichtgeving is verduidelijkt dat PNLD niet dezelfde systemen betreft als de Police National Computer of de Police National Database. Het serviceplatform is bedoeld voor juridische informatievoorziening.
PNLD stelt ook dat het platform geen vertrouwelijke informatie bevat over slachtoffers, getuigen of daders. Dat is relevant omdat het impactbeeld daardoor vooral draait om contactgegevens en niet om dossierinhoud.
Wat zegt PNLD over omvang en timing?
Op 3 augustus 2026 had PNLD nog geen publieke cijfers gedeeld over het aantal betrokkenen, het startmoment van de inbraak, de duur van toegang en de totale hoeveelheid gegevens die is meegenomen. In de officiële bekendmaking worden wel de soorten velden genoemd, maar geen victim total.
PNLD vermeldt in eerdere jaaroverzichten wel gebruikerscijfers. In het overzicht 2025-26 noemt PNLD bijvoorbeeld 108.429 registraties en ondersteuning voor alle 43 Home Office-politiekorpsen. Dat is echter geen doorbraak-aantal van unieke slachtoffers, maar een basis voor het gebruik van de service.
Mogelijke oorzaak: publicatie via Microsoft Power-ecosysteem
PNLD gaf aan dat de database draait op Microsoft Power Platform. Externe onderzoekers koppelden de bevinding aan assets die gehost worden via de domeinnaam content.powerapps.com. Dat ondersteunt de technische relatie met het platform, maar zegt nog niets over hoe de aanvaller toegang kreeg.
Volgens analyses van VenariX zijn er aanwijzingen dat de campagne mogelijk is gelinkt aan een Dataverse-achtige structuur. In een case werd vastgesteld dat een publiek portaal records kon teruggeven zonder authenticatie. Die datapunten bleken bovendien consistent met informatie die door een lekorganisatie in het dossier werd genoemd.
VenariX schetst daarbij een mogelijk pad op campageniveau: een Power Pages-site met brede toegang voor Anonymous Users die Dataverse-tabellen kan uitlezen. Voor zo’n route zou een Power Pages Web API of een legacy OData-feed nodig zijn.
Waarom dat belangrijk is voor verdediging
Microsoft documenteert dat als de Anonymous Users-rol toegang krijgt tot een tabel, de data zichtbaar kan zijn voor iedereen die de site bezoekt. Daarnaast beschrijft Microsoft hoe de /_api-interface werkt met permissies die horen bij webrollen.
VenariX benadrukt tegelijkertijd dat dit nog geen definitieve PNLD-specifieke verklaring is. Er is op het moment van rapportage geen concreet endpoint, permissie-instelling, API-route of ondersteunend log gevonden dat direct als root cause voor PNLD wordt aangewezen. In andere woorden: het Power Pages-pad is op dit moment een hypothese om te testen, niet een bewezen beschrijving van de exacte aanvalstechniek.
Aanvalsmateriaal: geen ransomware of malware gezien
Wat opvalt in de beschikbare campagneanalyse is dat er volgens VenariX geen aanwijzingen zijn voor ransomware, malware, laterale beweging of het misbruiken van een softwarekwetsbaarheid. Dat betekent dat de focus in deze zaak vooral lijkt te liggen op het blootleggen van data door configuratie of toegang, en minder op klassieke exploitketens in het campagneverhaal.
De lekorganisatie ExfilSquad plaatste PNLD op 26 juli op zijn lekplatform, maar PNLD heeft niet bevestigd dat de groep verantwoordelijk is. Er is dus wel sprake van publicatie op het dark web, maar de attributie blijft beperkt tot wat in het publieke materiaal staat en wat externe onderzoekers hebben kunnen terugvinden.
Wat je als organisatie hiervan kunt leren
Zelfs als de exacte technische route bij PNLD nog niet volledig is vastgesteld, is het beveiligingslesdoel helder: publicatie van data kan al ontstaan door verkeerd ingestelde permissies binnen het gekozen platform.
VenariX adviseert operators (in dit geval van Power Pages) om ten minste deze controles uit te voeren:
- check permissies van Anonymous Users op tabellen
- controleer instellingen voor de Web API
- verifieer legacy OData-feeds
- test toegang vanuit een browsersessie zonder authenticatie
Door die stappen toe te passen, kun je het type configuratiepatroon dat VenariX identificeerde gericht aanpakken. Met name de test vanuit een volledig anonieme sessie is praktisch: je ziet dan direct of data publiek raadpleegbaar is.
Extra aandacht voor phishing-risico
Omdat de PNLD-breuk juist contactgegevens van herkenbare personen en instanties betreft, ligt misbruik voor de hand. Het VK geeft ook aan dat aanvallers phishingberichten met echte namen en rollen overtuigender kunnen maken.
Voor organisaties en medewerkers betekent dit concreet: wees alert op berichten die inspelen op actuele context, check afzenders en verwijs indien nodig naar interne kanalen of officiële portalen voor verificatie. Ook kan het helpen om medewerkers te trainen op het herkennen van gepersonaliseerde phishing.
Vergelijkbare onderwerpen op onze site
De PNLD-casus past in een bredere lijn van incidenten waarbij toegang tot informatie of systemen via onverwachte routes tot datalekken leidt. Als je meer wilt lezen over dat soort aanvalspatronen en de praktische implicaties, bekijk dan ook:
- CaptiveCrunch: diefstal van Microsoft 365 via Wi‑Fi gateways
- Implicaties van hacks en patches: wat je nu doet
- Investeringsmanagement voor cybersecurity: Balance Theory
Conclusie
De PNLD-breuk toont hoe zelfs een dienst die niet als kernbeheersysteem van politie-databases wordt gezien, toch waardevolle contactinformatie kan bevatten die het voor aanvallers makkelijker maakt om slachtoffers te benaderen. PNLD meldt dat er geen aanwijzingen zijn voor gecompromitteerde wachtwoorden, maar de publicatie van namen en werk e-mailadressen verhoogt wel het phishingrisico.
De technische details zijn nog niet volledig uitgelegd, maar onderzoeken wijzen op mogelijke risico’s binnen het Power Platform- en Power Pages-landschap, met name wanneer anonieme toegang tot Dataverse-tabellen of API-routes te ruim is ingesteld. Organisaties doen er daarom verstandig aan om permissies, API-instellingen en anonieme toegang systematisch te testen voordat incidenten zoals deze zich herhalen.
Bron: https://thehackernews.com/2026/08/pnld-breach-exposes-uk-police-and.html
