الخلاصة

  • قال تحديث 14 أكتوبر إن نحو 250 ألف سجل لدى Legal Aid Agency موجود في المواد التي استُخرجت يعود إلى ما قبل 2007، وإن أقدم سجل تحقق منه حتى الآن يرجع إلى 1978.
  • يشمل النطاق المنشور أيضاً بيانات محدودة عن المراقبة ضمن المواد التي أُخذت في واقعة LAA، لكن الفترة أو الجهة لا تحددان الأشخاص الذين أُخذت بياناتهم.

يشير عام 1978 إلى مدى الأدلة التي جرى التحقق منها حتى الآن، لا إلى عدد الأشخاص المتضررين. تقول Ministry of Justice إن التحليل المستمر عثر على نحو 250 ألف سجل لدى Legal Aid Agency يسبق 2007، وتحقق من سجل يعود إلى 1978. اكتُشف الهجوم في 23 أبريل 2025؛ وفي 16 مايو قالت الحكومة إن نطاقه أوسع مما فُهم أولاً. ويغيّر تحديث 14 أكتوبر 2026 الوصف المنشور بعد أعمال تقنية وتحليل بيانات امتدت لاحقاً. لكنه لا يقول إن كل سجلات تلك السنوات سُرقت أو إن كل من تعامل مع المساعدة القانونية آنذاك تأثر. البيان الوزاري المكتوب إلى البرلمان والتحديث الحكومي المرافق يوضحان هذا الفرق.

السجل لا يساوي شخصاً. قد يكون دفعة أو خطاباً أو مطالبة أو جزءاً من نظام لإدارة القضايا. وتقول الحكومة إن المعلومات تختلف بين الأفراد وإنه لم يتأثر سجل كامل لقضية مساعدة قانونية. وتذكر الجداول حقولاً قد تشمل الاسم والعنوان وتاريخ الميلاد ورقم هوية وبيانات مالية أو تفاصيل قضية، من دون أن تقول إن كل هذه الحقول وُجدت لدى كل شخص. وكانت الأسئلة الشائعة المؤرشفة عن حادثة Legal Aid Agency قد حددت سابقاً الفترة المعروفة لبيانات المتقدمين من 2007 إلى 16 مايو 2025. كان ذلك تقييماً في حينه، لا ضماناً بعدم ظهور سجلات أقدم لاحقاً.

ويغيّر التحديث أيضاً حدود الخدمات في السجل العام. فهو يقول إن مواد استُخرجت خلال الواقعة نفسها تضمنت معلومات محدودة تخص HM Prison and Probation Service، وتحديداً بيانات عن المراقبة. ويصف البيان مجموعة صغيرة نسبياً من الأشخاص الذين كانت Probation Services تدير شؤونهم بين 2010 و2017؛ وأكثر من 99% من هذه المجموعة يعود إلى 2016 و2017. وهذا يثبت وجود تلك البيانات ضمن المواد التي أُخذت من أنظمة Legal Aid Agency، لا اختراق أنظمة HMPPS. كما لا تقدم الحكومة عدداً للأشخاص في هذه المجموعة. وتذكر صفحة LAA المحدثة أن المعلومات المعنية لا تخص ضحايا جرائم.

لهذا لا يقتصر الأمر على إطالة الفترة الزمنية. تقول Ministry of Justice إن قسماً كبيراً من البيانات المستخرجة مجزأ وغير منظم وغير مكتمل. وترى الحكومة أن ذلك قد يصعّب على من سرقوا البيانات تحديد الأفراد، لكنها تحذر أيضاً من أن انتماء شخص إلى فئة أو فترة لا يثبت أن بياناته سُرقت. ولا توجد، بحسب الحكومة، مؤشرات على نشر البيانات المسروقة أو مشاركتها. وهذه عبارة تصف ما تعرفه السلطات الآن، ولا تثبت أن البيانات لن تنتشر مستقبلاً.

ويضيف تاريخ الضوابط مساراً زمنياً آخر. قالت الحكومة في يونيو إن مخاطر الأنظمة الرقمية والأمن السيبراني مدرجة منذ 2021 في سجلات المخاطر لدى Legal Aid Agency وMinistry of Justice. ووصفت البنية الرقمية للوكالة، وفق تقييم 2022-2023، بأنها الأكثر تعقيداً وهشاشة داخل الوزارة. كما قالت إن استثماراً بقيمة 10.5 ملايين جنيه في 2024-2025 أتاح أدوات للرصد والتنبيه ساعدت، وفق رواية الحكومة، على اكتشاف الهجوم وقت اكتشافه. لكن مخاطر الأنظمة القديمة ظلت مرتفعة. هذه تقييمات حكومية منشورة وليست نتيجة مستقلة تحسم سبب الهجوم. وتعرض الإجابة البرلمانية عن الكشف ومخاطر الأنظمة التسلسل الزمني.

ويبين تقريران ماليان لماذا يحتاج نطاق البيانات واستعادة الأنظمة إلى دليلين منفصلين. يسجل تقرير Legal Aid Agency السنوي 2024-2025 أن التقييم السابق اعتقد أن الاختراق محصور في أنظمة LAA، وأن الخدمات اعتمدت على ترتيبات طارئة. أما اكتشاف بيانات المراقبة لاحقاً فيتعلق بمعلومات موجودة ضمن المواد المستخرجة؛ ولا يثبت وحده اختراق أنظمة HMPPS. ومن جهة أخرى، فحص Comptroller and Auditor General ضوابط الحادثة وسلامة البيانات والمدفوعات التي دخلت في حسابات Ministry of Justice ولم يجد تحريفات جوهرية. وتخص نتيجة التدقيق القوائم المالية، ولا تؤكد تحديد كل شخص سُرقت بياناته.

المؤشر الأهم تالياً

يمتد السجل العام الآن عبر عقود، لكن الحكومة لم تنشر عدد الأشخاص المتضررين أو الذين تمكنت من تحديدهم، ولم تضع موعداً لانتهاء التحقق الفردي. وهي تقول إنها ستحدد الأفراد حيثما سمحت البيانات بذلك. هذا الشرط هو جوهر القضية: لا تتحول قائمة كبيرة من السجلات تلقائياً إلى قائمة موثوقة للإخطار. وينبغي أن توضح الأدلة التالية طريقة ربط السجلات بالأشخاص، ومواضع استمرار الشك، والفئات التي أُخطرت، وكيف ستُراجع الحالات غير المحسومة.