Nach Darstellung von COPFS nahm die Behörde an einer Online-„Data Maturity Assessment“ teil, die von der schottischen Regierung organisiert und von einem Dritten verwaltet wurde. Genau in diesem Zusammenhang kam es zu dem Vorfall. Die Behörde machte den Namen des betroffenen externen Anbieters nicht öffentlich.
Dark Reading hält die britische Forschungsfirma Data Orchard für die wahrscheinlich zentrale Organisation hinter diesen Bewertungen. Das Unternehmen hatte in einem „Impact Report“ vom Januar erklärt, im vergangenen Jahr eine fünfte Gruppe von Organisationen des öffentlichen Sektors im Rahmen von Schottlands „Data Maturity Programme“ durch seinen Datenreife-Bewertungsprozess geführt zu haben. Öffentlich als Quelle des Datenlecks bei COPFS benannt wurde Data Orchard zum Zeitpunkt der Veröffentlichung jedoch nicht.
Damit bleibt offen, ob nur COPFS betroffen ist oder ob auch andere schottische Regierungsorganisationen durch dieselbe Bewertung Daten verloren haben. Ebenso unklar ist, ob der nicht benannte Dritte womöglich auch Daten weiterer Kunden verloren hat. Laut Website hat Data Orchard zuletzt mit mehreren großen Organisationen gearbeitet, darunter dem World Wildlife Fund (WWF) und der Regierung von Wales. Dark Reading teilte mit, das Unternehmen und mehrere Vertreter der schottischen Regierung um weitere Informationen gebeten zu haben.
COPFS betonte, dass sich der Vorfall auf Beschäftigtendaten beschränkt habe. Betroffen seien Namen, Rollen und dienstliche E-Mail-Adressen. Daten zu Verfahren, Opfern und Zeugen seien nicht betroffen. In einer E-Mail an Dark Reading erklärte ein Sprecher zudem, dass rund 300 Personen betroffen seien und keine IP-Adressen zu den verlorenen Daten gehörten.
Boris Cipot, leitender Sicherheitsingenieur bei Black Duck, warnt dennoch vor den Folgen. „Selbst scheinbar begrenzte Mitarbeiterinformationen können wertvolle Aufklärungsdaten werden“, sagte er. Ein realistisches Szenario seien hochgradig zielgerichtete Phishing-Angriffe. Wenn Angreifer Namen, Rolle und behördliche E-Mail-Adresse einer Person kennen, könnten sie überzeugende Nachrichten erstellen, die scheinbar von internen Abteilungen, vertrauenswürdigen Lieferanten oder Regierungspartnern stammen.
Cipot betonte außerdem, die vergleichsweise geringe Zahl Betroffener dürfe das Risiko nicht relativieren. Sicherheitsvorfälle drehten sich nicht immer um das Volumen; oft reiche bereits ein kompromittiertes Mitarbeiterkonto, um Angreifern einen Einstieg in ein größeres Umfeld zu verschaffen.
Cory Kennedy, Bedrohungsforscher bei SecurityScorecard, sieht in dem Fall ein typisches Problem im Umgang mit Dienstleistern. „Die meisten Lieferantenprüfungen in Europa und Nordamerika funktionieren noch immer als Momentaufnahme“, sagte er. Ein Fragebogen beim Onboarding, ein SOC-2- oder ISO-27001-Zertifikat und dann ein Jahr lang nichts Substanzielles. Im Fall von COPFS habe die Gefährdung bei einem Umfrage-Dienstleister gelegen, der für eine einmalige Bewertung beauftragt worden sei — genau die Art von Randlieferant, die in einer kontinuierlichen Überwachung oft nicht auftauche.
Kennedy zufolge helfen mehr Formulare allein nicht weiter. Nötig sei der Wechsel von jährlichen Bestätigungen hin zu einer fortlaufenden externen Überwachung der tatsächlichen Angriffsfläche von Lieferanten, einschließlich ihrer Abhängigkeiten. Er verwies darauf, dass NIS2 und DORA Europa bereits in diese Richtung bewegten. Auch Cipot sagte, Organisationen setzten oft zu viel Vertrauen in den ursprünglichen Prüfprozess; ein Anbieter könne jede Compliance-Prüfung bestehen und Monate später dennoch Opfer eines Datenlecks werden.