PNLD : ExfilSquad et l'hypothèse d'un portail Power Pages mal configuré derrière la fuite de plus de 100 000 contacts policiers britanniques

Rapport CTI technique du 5 août 2026

Résumé exécutif

Le Police National Legal Database (PNLD), service de référence juridique utilisé par les 43 forces de police du Home Office en Angleterre et au Pays de Galles ainsi que par la British Transport Police, a confirmé début août 2026 qu'un intrus avait accédé à des données de contact et les avait publiées sur le dark web. L'intrusion a été détectée le 26 juillet. Les données exposées incluent noms, organisations et adresses email professionnelles de policiers, personnels de police, professionnels de la justice pénale, partenaires gouvernementaux, ainsi que des utilisateurs du service public "Ask the Police". Le groupe d'extorsion de données ExfilSquad a revendiqué l'attaque et affirme avoir dérobé environ 1,9 Go de données représentant près de 135 000 enregistrements, dont 114 000 abonnés PNLD et 21 000 utilisateurs du service Ask the Police.

PNLD n'a publié à ce stade ni le nombre exact de personnes affectées, ni la durée d'accès de l'attaquant, ni le volume précis de données dérobées, et précise qu'aucune preuve n'indique la compromission de mots de passe ou d'autres identifiants de connexion. Le vecteur d'accès initial reste non confirmé officiellement. La société de renseignement VenariX a toutefois analysé des échantillons associés à 11 des 15 victimes revendiquées par ExfilSquad et trouvé dans chaque cas des structures cohérentes avec Microsoft Dataverse, suggérant un mode opératoire ciblant des portails Power Pages mal configurés avec un accès anonyme trop permissif aux tables de données. Ce lien reste une hypothèse à valider dans le cas PNLD spécifiquement, pas une cause racine confirmée.

Chronologie

Date	Événement
2026-07-26	PNLD détecte l'intrusion ; ExfilSquad liste PNLD sur son site d'extorsion le même jour
Avant le 2026-08-03	ExfilSquad publie un échantillon des données volées sur le dark web et exige une rançon pour ne pas publier le reste
2026-08-03	PNLD confirme publiquement la compromission et la publication de données ; VenariX publie son analyse de la piste Power Pages
2026-08-05	Publication de ce rapport

Fiche d'acteur / campagne : ExfilSquad

Acteur : ExfilSquad, groupe d'extorsion de données. Mode opératoire observé : ciblage de portails web publics exposant des données via des tables Dataverse insuffisamment protégées, sans recours identifié à un déploiement de rançongiciel, à un malware, ou à un mouvement latéral dans les cas examinés par VenariX. Attribution : aucune attribution nominative à un acteur étatique ou à un groupe connu au-delà du nom auto-déclaré ExfilSquad.

Description technique. VenariX a examiné des échantillons liés à 11 des 15 victimes revendiquées par le groupe et a trouvé, dans les 11 cas, des structures de données cohérentes avec des exports Microsoft Dataverse. Dans le cas d'une victime distincte basée à Houston, l'entreprise a confirmé qu'un portail public renvoyait des enregistrements sans authentification, et que ces enregistrements correspondaient aux données publiées par le groupe. Sur cette base, VenariX formule l'hypothèse d'un mode opératoire de type portail Power Pages public avec un rôle Anonymous Users disposant d'un accès trop large aux tables Dataverse, combiné à une Web API Power Pages activée ou à un flux OData hérité exposé sans contrôle. PNLD a par ailleurs indiqué dans son bilan annuel 2023-2024 que sa plateforme repose sur Microsoft Power Platform, et The Hacker News a confirmé le 3 août 2026 que la page d'avis de violation de PNLD référence des ressources hébergées sur le domaine content.powerapps.com, ce qui corrobore un lien avec la plateforme sans démontrer la cause technique exacte de l'accès.

Conditions d'exploitation, si l'hypothèse Power Pages se confirme : rôle Anonymous Users disposant d'une permission de lecture sur une ou plusieurs tables Dataverse, associée à une Web API Power Pages activée ou à un flux OData legacy actif sans restriction d'accès. Aucune authentification, aucun exploit logiciel, aucun mouvement latéral requis dans ce scénario : la donnée est simplement accessible à quiconque visite l'endpoint public. PoC disponible : non applicable, il ne s'agit pas d'une CVE mais d'un défaut de configuration de plateforme SaaS. Patch/mitigation : Microsoft fournit un contrôle de gouvernance au niveau du tenant permettant de bloquer la lecture anonyme des données Dataverse tout en conservant les soumissions de formulaires publics ; VenariX recommande également un audit des permissions de table pour le rôle Anonymous Users, des paramètres de Web API, et des flux OData hérités, suivi d'une validation d'accès depuis une session navigateur non authentifiée.

Diagramme de la chaîne d'attaque

Chronologie PNLD
Reconstitution basée sur The Hacker News, l'avis officiel PNLD et l'analyse VenariX du 3 août 2026.

Analyse technique

Étape 1 : exposition potentielle via portail public mal configuré

Selon l'hypothèse formulée par VenariX à partir de son analyse d'autres victimes d'ExfilSquad, un portail Power Pages public accorde au rôle Anonymous Users un accès en lecture à une ou plusieurs tables Dataverse contenant des données de contact. Ce défaut de configuration ne nécessite aucune action malveillante active pour exister : il suffit qu'un administrateur ait accordé une permission de table trop large lors de la mise en place du portail.

Étape 2 : découverte et extraction via l'interface Web API ou OData

Si une Web API Power Pages ou un flux OData hérité est actif sur le portail, ces interfaces suivent les permissions de table associées à chaque rôle web. Un accès Anonymous Users mal restreint rend alors les données interrogeables directement depuis l'endpoint /_api, sans qu'un exploit logiciel ne soit nécessaire : une simple requête HTTP non authentifiée suffit à extraire les enregistrements.

Étape 3 : collecte et agrégation des données par l'acteur

Une fois l'accès confirmé, l'acteur peut extraire l'intégralité des tables exposées de façon automatisée. Dans le cas PNLD, les données recueillies couvrent noms, organisations et adresses email professionnelles de policiers et de personnels de justice pénale, ainsi que les demandes soumises via le service public Ask the Police.

Étape 4 : publication sur un site d'extorsion et pression sur la victime

ExfilSquad a listé PNLD sur son site de fuite de données le jour même de la détection de l'intrusion par PNLD, avant de publier un échantillon des données sur le dark web et d'exiger une rançon pour ne pas diffuser l'intégralité du volume revendiqué. Cette séquence, sans déploiement de rançongiciel observé, correspond à un modèle d'extorsion pure basé sur la menace de divulgation plutôt que sur le chiffrement de systèmes.

Étape 5 : notification et investigation côté victime

PNLD a notifié l'ensemble des organisations affectées, informé l'Information Commissioner's Office (ICO), et travaille avec la National Crime Agency (NCA) ainsi que des spécialistes en cybersécurité externes pour l'investigation. Au moment de la rédaction, PNLD n'a ni confirmé ni infirmé publiquement le vecteur d'accès exact.

Indicateurs de compromission

Type	Valeur
Acteur revendiqué	ExfilSquad, groupe d'extorsion de données, site de fuite référencé par ransomlook.io
Volume revendiqué	Environ 1,9 Go, ~135 000 enregistrements selon ExfilSquad (114 000 abonnés PNLD, 21 000 utilisateurs Ask the Police)
Domaine associé	content.powerapps.com, référencé sur la page d'avis de violation officielle de PNLD
Pattern d'exposition (hypothèse VenariX, non confirmée pour PNLD)	Endpoint /_api Power Pages accessible sans authentification, retournant des données Dataverse à toute requête anonyme

PNLD n'a pas publié d'indicateurs techniques (IP, hash, user-agent) associés à l'intrusion au moment de la rédaction. Le tableau ci-dessus reflète les éléments publics disponibles, pas une liste d'IOC exhaustive fournie par la victime ou par CISA.

MITRE ATT&CK

Aucune cartographie officielle n'a été publiée par PNLD, ExfilSquad ou VenariX au moment de la rédaction. Le tableau suivant est une lecture technique construite à partir de l'hypothèse Power Pages, pas une attribution vendeur confirmée.

Tactique	Technique	ID	Justification
Reconnaissance	Search Open Websites/Domains	T1593	Identification de portails Power Pages publics comme cibles potentielles avant toute intrusion technique
Initial Access	Exploit Public-Facing Application	T1190	Si l'hypothèse Power Pages se confirme, l'accès repose sur une mauvaise configuration d'une application web publique
Collection	Data from Information Repositories	T1213	Extraction de données structurées directement depuis les tables Dataverse exposées
Exfiltration	Exfiltration Over Web Service	T1567	Les données collectées via l'endpoint public sont directement récupérables sans canal C2 dédié
Impact	Data Leaked (catégorie proche)	T1491	Publication d'un échantillon de données sur le dark web à des fins de pression et d'extorsion

Remédiation : checklist opérationnelle

Auditer immédiatement toute permission accordée au rôle Anonymous Users sur les tables Dataverse des portails Power Pages en production, et retirer les accès en lecture non indispensables aux formulaires publics.
Vérifier l'état d'activation de la Web API Power Pages et des flux OData hérités sur chaque portail, et désactiver ceux qui ne sont pas explicitement nécessaires.
Activer le contrôle de gouvernance au niveau du tenant qui bloque la lecture anonyme des données Dataverse tout en conservant les soumissions de formulaires publics légitimes.
Valider l'exposition réelle en testant l'accès aux endpoints /_api depuis une session navigateur non authentifiée, pour chaque portail public exposé.
Pour les organisations utilisant PNLD ou des services PNLD-dépendants, traiter les adresses email professionnelles concernées comme potentiellement exposées à des campagnes de phishing ciblé.
Ne pas attendre la confirmation officielle du vecteur d'accès pour agir : le pattern Power Pages documenté par VenariX touche déjà au moins 11 autres organisations avec des symptômes similaires.
Mettre en place une surveillance de mentions sur les sites d'extorsion et forums spécialisés pour les organisations utilisant des portails Power Pages exposant des données sensibles.
Revoir les procédures de notification interne pour s'assurer qu'une détection d'intrusion déclenche un examen des permissions de portails publics avant toute autre hypothèse de vecteur d'accès.