PNLD erklärte, alle betroffenen Organisationen kontaktiert und zusätzliche Informationen sowie Hinweise bereitgestellt zu haben. Betroffene Nutzer von „Ask the Police“ hätten bereits eine E-Mail mit weiteren Angaben und Empfehlungen erhalten. Zudem meldete die Organisation den Vorfall an das Information Commissioner’s Office (ICO) und arbeitet nach eigenen Angaben mit der National Crime Agency (NCA) sowie spezialisierten Cybersicherheitsorganisationen zusammen.
Offen bleibt bisher, wie groß der Vorfall tatsächlich ist. Bis zum 3. August 2026 hatte PNLD weder öffentlich mitgeteilt, wie viele Personen betroffen sind, noch wann der unbefugte Zugriff begann, wie lange er andauerte oder welches Datenvolumen entwendet wurde. Auch der offizielle Hinweis zum Sicherheitsvorfall beschreibt zwar die offengelegten Datenfelder, nennt aber keine Zahl der Betroffenen. PNLD verwies in seiner Jahresübersicht 2025/26 auf 108.429 Registrierungen aus dem Polizeiumfeld und Unterstützung für alle 43 Polizeibehörden des Home Office. Diese Zahl beschreibt jedoch die Nutzerbasis und nicht die Zahl der Opfer des Vorfalls.
Im Zusammenhang mit der möglichen technischen Ursache gibt es bislang keine bestätigte Erklärung. PNLD hatte in seiner Jahresübersicht 2023/24 angegeben, dass die Datenbank auf Microsoft Power Platform basiert. The Hacker News bestätigte am 3. August 2026, dass die Seite mit dem Hinweis auf den Sicherheitsvorfall auf Inhalte aus Microsofts Domain content.powerapps.com verweist. Das stützt den Bezug zur Plattform, belegt aber nicht, auf welchem Weg die Angreifer an die Daten gelangten.
Das Sicherheitsunternehmen VenariX untersuchte Proben aus 11 der 15 von ExfilSquad beanspruchten Opfer und fand in allen 11 Fällen Strukturen, die mit Dataverse konsistent seien. Im Fall Houston bestätigte VenariX, dass ein öffentliches Portal Datensätze ohne Authentifizierung zurücklieferte und dass diese Datensätze mit den von der Gruppe veröffentlichten Informationen übereinstimmten.
VenariX hält auf Kampagnenebene für wahrscheinlich, dass ein öffentlich erreichbarer Power-Pages-Auftritt mit weitreichenden Rechten für anonyme Nutzer auf Dataverse-Tabellen eine Rolle spielte. Dafür hätte zusätzlich eine aktivierte Power Pages Web API oder ein älterer OData-Zugang vorliegen müssen. Microsofts Dokumentation beschreibt, dass Tabellen mit Berechtigungen für die Rolle „Anonymous Users“ für jeden Besucher der Website sichtbar werden. Für die Web-API-Dokumentation gilt laut Microsoft, dass die Schnittstelle /_api den Tabellenrechten der jeweiligen Webrolle folgt.
Für PNLD ist das bisher aber nur eine Hypothese. VenariX betonte, die Belege bestätigten „noch nicht, dass jede Organisation über ein offengelegtes Power-Apps-Portal oder dieselbe Fehlkonfiguration betroffen war“. Weder die Mitteilung von PNLD noch der Bericht von VenariX nannten bis zum 3. August 2026 einen PNLD-spezifischen Endpunkt, eine konkrete Berechtigungseinstellung, eine API-Route oder unterstützende Protokolldaten. Entsprechend bleibt der Verweis auf Power Pages vorerst ein Prüfansatz und keine gesicherte Erklärung des PNLD-Vorfalls.
Microsoft stellt auf Mandantenebene eine Governance-Funktion bereit, die verhindert, dass nicht authentifizierte Nutzer Dataverse-Daten lesen, während öffentliche Formulareinsendungen weiter möglich bleiben. VenariX empfiehlt Betreibern von Power Pages außerdem, Berechtigungen für „Anonymous Users“, Web-API-Einstellungen und ältere OData-Zugänge zu überprüfen und den Zugriff aus einer nicht authentifizierten Browsersitzung zu testen. Diese Empfehlungen beziehen sich jedoch auf das von VenariX identifizierte Konfigurationsmuster, nicht auf eine bestätigte Ursache bei PNLD.
ExfilSquad hatte PNLD am 26. Juli auf seiner Leak-Seite aufgeführt, doch PNLD hat den Vorfall der Gruppe bislang nicht zugeschrieben. VenariX fand in dem untersuchten Kampagnenmaterial keine Hinweise auf eingesetzte Ransomware, Malware, laterale Bewegung oder die Ausnutzung einer Softwareschwachstelle. Auch den genauen Zugriffsweg, die Zahl der individuell betroffenen Personen und das vollständige Volumen der veröffentlichten Daten hat PNLD weiterhin nicht öffentlich gemacht.