Nach Darstellung des ICO gehen die drei Einbrüche auf dieselbe grundsätzliche Schwäche zurück: ACROs öffentlich zugängliches Kundenportal lief jahrelang auf derselben Kentico-Version. Obwohl für die bekannten Sicherheitslücken Patches verfügbar waren, spielte sie niemand ein. Weder ACRO selbst noch der Managed-Service-Provider oder der Webentwicklungsdienstleister wussten laut Bericht, wer die Aufgabe hatte, nach Updates zu suchen und sie einzuspielen.
Ähnlich ungeklärt war der Umgang mit Sicherheitswarnungen. Während des Angriffszeitraums meldete die Sicherheitslösung Trend Micro zahlreiche Vorfälle, darunter vier separat in Quarantäne verschobene Erkennungen von Versuchen, das Zugangsdaten-Werkzeug Mimikatz zu installieren. Diese Warnungen blieben jedoch unbeachtet. ACRO teilte dem ICO mit, man habe nicht feststellen können, welcher Geschäftsprozess zur Bewertung oder Bearbeitung solcher Hinweise existiert habe und welche Rollen für Prüfung und Eskalation zuständig gewesen seien. Nach Einschätzung des ICO hätte weiteres böswilliges Vorgehen verhindert werden können, wenn auf die Warnungen reagiert worden wäre.
Eine von ACRO beauftragte forensische Untersuchung identifizierte drei eigenständige Vorfälle, die das ICO als Gruppe A, Gruppe B und Gruppe C bezeichnet. Unklar bleibt, ob diese Einteilung Aktivitätscluster einzelner Bedrohungsakteure beschreibt oder voneinander unabhängige Täter. Insgesamt fanden sich laut Bericht Spuren von Angreiferaktivität zwischen dem 9. Juli 2021 und dem 22. Juni 2023. Das ICO betont allerdings, dass das spätere Datum die Außerbetriebnahme der kompromittierten Infrastruktur markiert und nicht zwingend den letzten Zugriff der Angreifer auf die ACRO-Umgebung.
Als schwerwiegendsten Fall beschreibt die Aufsicht Gruppe A. Dabei hielten Angreifer ungefähr sieben Monate lang, zwischen August 2022 und März 2023, einen dauerhaften Zugriff auf ACROs Website und das Content-Management-System. In dieser Zeit betrieben sie Aufklärung und bereiteten im Februar 2023 sensible Daten von knapp 11.000 Personen für eine Exfiltration vor. Weil ACRO nicht genügend Protokolle aufbewahrte, ließ sich später nicht mehr klären, ob die Daten tatsächlich exfiltriert wurden.
Zu den beiden anderen Vorfällen nennt das ICO weniger Details. Einer davon soll eine SQL-Injection umfasst haben, durch die Zugangsdaten von Beschäftigten offengelegt wurden. Wann genau diese Ereignisse innerhalb des fast zweijährigen Zeitfensters stattfanden, führt die Behörde nicht aus.
Im April 2023 hatte ACRO nach einer Anfrage der Zeitung Evening Standard eingeräumt, auf einen Cybersicherheitsvorfall zu reagieren, nachdem die Behörde ihre Website zunächst mit dem Hinweis auf notwendige Wartungsarbeiten als nicht verfügbar dargestellt hatte. Später reklamierte die Ransomware-Gruppe Medusa die Tat für sich. Veröffentlicht wurden auf der Leak-Seite der Gruppe jedoch keine gestohlenen Daten. Ob das auf eine stillschweigende Erpressungszahlung hindeutet oder ob Medusa die Verantwortung nur zu Werbezwecken beanspruchte, bleibt laut Bericht offen.
Vorsorglich benachrichtigte ACRO im April 2023 mehr als 84.000 Menschen, die im gefährdeten Zeitraum Anträge an die Datenbank übermittelt hatten. Danach gingen mehr als 40 formelle Beschwerden ein, die das ICO nach eigenen Angaben nicht untersucht hat. In der Rüge macht die Aufsicht ACRO als Institution verantwortlich, nicht einzelne Personen. Die beteiligten zentralen Dienstleister sind im Dokument geschwärzt.
Als mildernden Faktor nennt das ICO die Netzsegmentierung: Sie habe verhindert, dass Angreifer aus der kompromittierten Web-Umgebung in das zentrale Polizeisystem vordringen konnten. Deshalb blieb es bei einer Rüge ohne finanzielle Sanktion. ACRO hat die betroffene Infrastruktur inzwischen außer Betrieb genommen und ein neues System für Sicherheitsinformationen und Ereignismanagement eingeführt. Vor der Veröffentlichung reagierte die Behörde nicht auf eine Bitte um Stellungnahme.