Resumo

  • Em 14 de outubro, o governo informou que cerca de 250 mil registros da Legal Aid Agency presentes no material exfiltrado são anteriores a 2007; o mais antigo verificado até agora data de 1978.
  • O escopo divulgado também inclui dados limitados de probation no material retirado durante o incidente da LAA, mas o intervalo e o serviço não identificam quem teve informações extraídas.

1978 marca até onde a evidência atualmente reunida alcança, não quantas pessoas foram afetadas. O Ministry of Justice diz que a análise em curso encontrou aproximadamente 250 mil registros da Legal Aid Agency anteriores a 2007 e confirmou um registro daquele ano. O ataque foi identificado em 23 de abril de 2025; em 16 de maio, o governo concluiu que o alcance era maior do que se entendia inicialmente. A atualização de 14 de outubro de 2026 altera a descrição pública depois de mais trabalho técnico e de análise de dados. Ela não afirma que todos os registros desses anos foram levados, nem que todas as pessoas que recorreram à assistência jurídica no período foram afetadas. A declaração ministerial escrita e a atualização pública deixam essa diferença clara.

Um registro não equivale a uma pessoa. Pode ser um pagamento, uma carta, uma solicitação ou um fragmento de um sistema de gestão de casos. O governo afirma que os dados variam por indivíduo e que nenhum registro completo de um caso de assistência jurídica foi afetado. As tabelas públicas citam campos que podem incluir nome, endereço, data de nascimento, identificador nacional, informação financeira ou detalhes de um processo, mas não dizem que todos os campos apareciam para cada pessoa. As perguntas frequentes arquivadas sobre o incidente da Legal Aid Agency descreviam antes o período então conhecido como 2007 a 16 de maio de 2025. Era uma avaliação daquele momento, não uma garantia de que registros anteriores jamais apareceriam.

A atualização também amplia a fronteira entre serviços na descrição pública. O governo diz que informações limitadas de HM Prison and Probation Service, especificamente dados de probation, estavam no material exfiltrado no mesmo incidente. A declaração descreve um grupo relativamente pequeno de pessoas acompanhadas por Probation Services entre 2010 e 2017; mais de 99% desse subconjunto corresponde a 2016 e 2017. Isso mostra que os dados estavam no material retirado dos sistemas da Legal Aid Agency. Não comprova uma invasão aos sistemas da HMPPS nem informa quantas pessoas compõem o subconjunto. A atualização da LAA diz que as informações da HMPPS descritas ali não se referem a vítimas de crimes.

Essa ressalva explica por que a notícia vai além de ampliar um intervalo de datas. O Ministry of Justice afirma que boa parte das informações exfiltradas é fragmentada, desestruturada e incompleta. Segundo o governo, isso pode dificultar a identificação de indivíduos por quem roubou os dados; ao mesmo tempo, pertencer a um grupo ou período não demonstra que os dados daquela pessoa foram extraídos. O governo relata não ter indícios de que as informações roubadas tenham sido publicadas ou compartilhadas. “Sem indícios” descreve o conhecimento atual, não prova que os dados nunca circularão.

O histórico de controles acrescenta outra cronologia. Em junho, o governo disse que riscos digitais e cibernéticos constavam dos registros de risco da Legal Aid Agency e do Ministry of Justice desde 2021. A infraestrutura da LAA, avaliada em 2022-23, foi descrita como a mais complexa e frágil do departamento. A mesma resposta afirma que o investimento de £10,5 milhões em 2024-25 implantou monitoramento e alertas que, segundo o governo, ajudaram a detectar o ataque no momento em que ele foi descoberto. Ainda assim, os sistemas legados mantinham alto risco residual. São avaliações divulgadas pelo governo, não uma conclusão independente sobre a causa do incidente. A resposta parlamentar sobre detecção e sistemas apresenta a sequência.

Dois relatórios financeiros mostram por que escopo da violação e recuperação de sistemas exigem evidências distintas. O relatório de prestação de contas 2024-25 da Legal Aid Agency registra que a avaliação anterior considerava a violação contida aos sistemas da LAA e que os serviços precisaram de medidas de contingência. A descoberta posterior de dados de probation se refere a informações presentes no material exfiltrado; por si só, não demonstra invasão aos sistemas da HMPPS. Em separado, o Comptroller and Auditor General examinou controles do incidente, integridade dos dados e pagamentos usados nas contas do Ministry of Justice e não encontrou distorções materiais. Essa conclusão de auditoria dá segurança sobre as demonstrações financeiras. Não confirma que todas as pessoas cujos dados foram levados já tenham sido identificadas.

A próxima medida que importa

O registro público agora cobre várias décadas, mas o governo ainda não divulgou quantas pessoas foram afetadas, quantas consegue identificar ou quando terminarão as verificações individuais. Diz que identificará indivíduos quando os dados permitirem. Essa condição é central: um inventário grande não se transforma automaticamente em uma lista confiável de notificações. A próxima evidência deveria explicar como os registros são ligados a pessoas, onde essa ligação continua incerta, quais grupos já foram avisados e como os casos pendentes serão reexaminados.