A Agência Britânica de Assistência Jurídica (LAA) confirmou que o ataque cibernético contra seus sistemas em abril de 2025 resultou no roubo de registros que remontam a 1978, em uma escala muito maior do que as estimativas iniciais, que se concentravam em dados de pagamentos e informações recentes de usuários.
A agência, subordinada ao Ministério da Justiça britânico, administra serviços de defesa pública e financia a assistência jurídica na Inglaterra e no País de Gales. Ela emprega cerca de 1.250 pessoas e também trabalha com aproximadamente 2.000 prestadores de serviços, incluindo advogados, escritórios de advocacia e organizações sem fins lucrativos.
Extensão dos dados roubados
A agência revelou o ataque no início de maio de 2025, alertando que as informações de pagamento de prestadores de serviços de assistência jurídica poderiam estar em risco. Duas semanas depois, confirmou que o incidente envolvia um conjunto maior de dados sensíveis, em sua maioria referente ao período a partir de 2010.
Segundo a agência, os dados afetados incluem detalhes de contato, datas de nascimento, números de identidade nacional, histórico criminal e situação profissional, além de valores de contribuições, dívidas e pagamentos. Os dados dos prestadores de serviços também incluíam contratos, locais dos escritórios, informações financeiras, dados de contato e credenciais do LAA Online Portal, incluindo nomes e endereços de e-mail.
Uma análise posterior dos dados extraídos dos sistemas mostrou que cerca de 250 mil registros remontam a antes de 2007. A grande maioria desses registros é das décadas de 1990 e 2000, enquanto um número muito pequeno é anterior a 1990; o registro mais antigo verificado remonta a 1978.
O que isso significa na prática?
A existência de registros antigos não significa que todas as pessoas que solicitaram ou receberam assistência jurídica, ou que tiveram contato com o sistema de justiça antes de 2007, tenham sido afetadas pelo ataque. Até o momento, a agência não vinculou todos os registros históricos a pessoas específicas entre os dados roubados. No entanto, a amplitude do período torna o incidente mais sensível, pois reúne dados de identificação e financeiros com informações relacionadas a processos e registros criminais.
O Ministério da Justiça britânico afirmou que atualmente não há evidências de que quaisquer dados pessoais supostamente roubados tenham sido publicados. O ministério explicou que o governo havia destinado 20 milhões de libras esterlinas antes do ataque para estabilizar e atualizar os sistemas digitais da agência, enquanto os novos investimentos na modernização dos serviços digitais e no reforço da resiliência e da segurança cibernética ultrapassaram 200 milhões de libras esterlinas.
Contexto mais amplo dos ataques ao setor público
O ataque à agência ocorreu em meio a uma série de ataques contra instituições britânicas, incluindo as redes Co-op, Harrods e Marks & Spencer, atribuídos à operação de ransomware DragonForce. Isso levou o Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) a publicar orientações para que as organizações britânicas reforçassem suas defesas.
O Reino Unido também anunciou em janeiro uma nova estratégia de segurança cibernética apoiada por mais de 210 milhões de libras esterlinas, enquanto o órgão britânico de defesa do consumidor de habitação informou nesta semana que está investigando um incidente de segurança envolvendo um terceiro que afetou seu sistema de gestão de processos. Esses acontecimentos mostram que proteger sistemas antigos e dados históricos é uma parte fundamental da gestão de riscos do setor público, e não apenas uma questão de atualização tecnológica.