La Comisión Electoral del Reino Unido sufrió una violación de datos en 2021-2022. [1] [2] [3]
En marzo de 2024 se informó que los servicios de seguridad del Reino Unido habían identificado al gobierno chino como el autor del ataque de violación de datos. [4] En relación con la violación, el gobierno del Reino Unido ha sancionado a dos personas y una empresa vinculadas al gobierno chino. [5]
Según la comisión, se podría haber accedido a los datos ya en agosto de 2021, pero no se detectaron hasta octubre de 2022. [1] [2] [3] Una vez descubierto, el ataque se informó a la Oficina del Comisionado de Información , al Centro Nacional de Seguridad Cibernética y a la Agencia Nacional contra el Crimen en un plazo de 72 horas. [1] [2] [3]
La vulnerabilidad inicial puede haber sido una falla de día cero conocida como 'ProxyNotShell' ( CVE -2022-41040) en su Exchange Server . [6]
La comisión afirmó que no podía saber con certeza a qué datos se había accedido ni quién era el responsable, pero que el ataque había demostrado una considerable sofisticación. [1] [2] [3] La violación no tuvo ningún impacto en el proceso electoral, ya que solo se podían ver copias de los registros electorales , que no habían sido modificados como resultado del ataque. La comisión evaluó que la violación no suponía un alto riesgo para las personas, pero sí incluía un gran volumen de datos personales de bajo nivel (nombre, dirección y, en el caso de algunos, la fecha en que alcanzaron la edad para votar). [7]
Habría sido posible acceder a los registros de las personas registradas para votar en el Reino Unido entre 2014 y 2022 y el sistema de correo electrónico de la Comisión también habría sido accesible para los atacantes. [1] [2] [3] Alrededor de cuarenta millones de personas están en el registro electoral. [1] [2] [3] Los datos que no habrían estado disponibles habrían incluido aquellos cuya identidad se mantiene anónima por razones de seguridad y las direcciones de votantes en el extranjero. [1] [2] [3]
La Comisión Electoral se disculpó por la filtración de datos. [1] [2] [3]
En marzo de 2024, el gobierno del Reino Unido y la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de los Estados Unidos sancionaron a una empresa fachada del Ministerio de Seguridad del Estado de China llamada Wuhan Xiaoruizhi Science and Technology y a individuos afiliados por violar la Comisión Electoral y colocar malware en infraestructura crítica. [8] [9]