Revisão forense amplia vazamento da Legal Aid Agency, no Reino Unido, até registros de 1978

A análise forense dos dados roubados da Legal Aid Agency (LAA), a agência do Ministério da Justiça britânico que administra a assistência jurídica gratuita na Inglaterra e no País de Gales, mostrou que o vazamento é mais antigo e mais amplo do que o governo tinha dito, com cerca de 250 mil registros anteriores a 2007, o mais antigo deles de 1978, segundo atualização oficial publicada em 14 de outubro de 2026, dezoito meses depois do ataque.

Como o caso começou

A agência identificou o ataque aos seus serviços digitais na quarta-feira, 23 de abril de 2025, e nos dias seguintes avisou os prestadores de assistência jurídica de que parte das informações deles, inclusive financeiras, podia ter sido comprometida.

Em 16 de maio de 2025, a LAA concluiu que o ataque era mais extenso do que se pensava e que o grupo criminoso tinha acessado e retirado dos sistemas (exfiltrado) uma quantidade grande de dados pessoais de quem pediu assistência jurídica e de quem presta o serviço.

Na época, segundo o The Record e o BleepingComputer, a agência falava em dados de pessoas atendidas a partir de 2010, como contatos, datas de nascimento, número do seguro social britânico (National Insurance), antecedentes criminais e situação de emprego, e os invasores diziam ter dados de mais de 2 milhões de pessoas e ameaçavam publicá-los se não recebessem pagamento.

Em declaração escrita ao Parlamento, a ministra dos Tribunais e Serviços Jurídicos, Sarah Sackman, disse que o ataque aconteceu porque os criminosos exploraram vulnerabilidades nos sistemas de TI da LAA, entraram em sistemas com informações pessoais e copiaram e retiraram parte dos dados guardados pelo ministério.

O que a análise forense mudou

Segundo o comunicado, equipes técnicas e de dados especializadas continuaram, desde o ataque, uma análise digital detalhada para estabelecer com mais precisão o que foi levado, e esse trabalho refinou tanto o período coberto quanto o tipo de informação atingida.

A maior parte dos dados da LAA continua sendo de pedidos, cobranças ou pagamentos feitos entre janeiro de 2007 e 16 de maio de 2025, ou de casos em andamento nesse período, mas a agência confirmou que cerca de 250 mil registros são anteriores a 2007, quase todos das décadas de 1990 e 2000, com uma parcela muito pequena anterior a 1990, e o mais antigo verificado até agora é de 1978.

A análise também mostrou que o material exfiltrado no mesmo ataque continha dados do HM Prison and Probation Service (HMPPS), o serviço prisional e de liberdade condicional, com nomes, datas de nascimento, nacionalidades e números de processo de um número relativamente pequeno de condenados acompanhados pelo serviço entre 2010 e 2017, dos quais mais de 99% estavam sob supervisão em 2016 e 2017, e o governo afirma que nenhum desses dados se refere a vítimas de crimes.

A ministra disse à Câmara dos Comuns que a compreensão do incidente continuaria a mudar à medida que avançasse a análise técnica, e a LAA explicou que o ataque atingiu sistemas complexos e volumes grandes de informação, boa parte dela desestruturada, fragmentada ou incompleta, o que tornou a análise difícil.

Para a agência, a nova capacidade de identificar dados permitiu chegar a uma visão mais completa do que foi comprometido, e as atualizações públicas anteriores refletiam a melhor informação disponível em cada momento.

O que os registros podem conter

O comunicado traz uma tabela por grupo de pessoas e por período, e a LAA avisa que estar num desses grupos não significa que todos os dados listados, ou algum deles, tenham sido levados, porque o que foi exfiltrado varia muito de uma pessoa para outra.

Entre os itens possíveis estão nome completo, data de nascimento, número do National Insurance, código postal, datas de início e fim do caso, custos cobrados e códigos do tipo de assistência recebida, e, em casos civis geridos no sistema de gestão de clientes e custos (CCMS), as respostas dadas nos pedidos, com avaliação financeira e do mérito, que podem incluir dados de cônjuges e outros familiares.

Para quem recebeu assistência na Crown Court, o tribunal criminal superior, a lista inclui acusações, alegação de culpa ou inocência, condenação e pena, além de dados patrimoniais e bancários usados no cálculo da contribuição do réu, enquanto, entre os pagamentos feitos à agência em casos civis, alguns feitos com cartão aparecem com os números parcialmente ocultos.

Nos julgamentos da Crown Court entre agosto de 2010 e agosto de 2017 e entre julho de 2018 e janeiro de 2025, também foram atingidos nomes de juízes, de advogados de defesa e de acusação e de taquígrafos judiciais, e a parte mais antiga inclui pagamentos de casos de custo muito alto feitos entre 1981 e 2004 e registros de verificação de benefícios sociais entre 1978 e 2012.

Segundo a ministra, em nenhum caso foi atingido o registro completo de um processo de assistência jurídica, e em parte dos casos o que saiu foi um único documento, como uma carta enviada pela LAA ou o registro de um pagamento.

Estado atual da investigação

O governo diz que não tem indício de que os dados roubados tenham sido publicados ou compartilhados, o que, segundo o The Record, é uma mudança em relação a maio de 2025, quando um porta-voz do ministério disse ao veículo que a publicação era questão de “quando, não se”.

A LAA continua trabalhando com a National Crime Agency, a agência britânica de combate ao crime organizado, com o National Cyber Security Centre (NCSC) e com a autoridade de proteção de dados, a Information Commission, que recebeu a atualização sobre o material exfiltrado.

O ministério afirma ter reforçado a autenticação e os controles de acesso, melhorado o monitoramento de segurança, tratado vulnerabilidades e começado a desativar ou isolar sistemas antigos de maior risco, e Sackman informou que foram destinados £200 milhões à recuperação e à migração desses sistemas para uma plataforma moderna.

A ministra também disse que o ministério trabalha para identificar, onde os dados permitirem, se as informações de uma pessoa específica foram levadas, e lembrou que, por estarem desestruturados, fragmentados e incompletos, os dados em muitos casos não permitem aos próprios criminosos identificar com facilidade a quem pertencem.