摘要

  • 10月14日的更新称，外泄材料中约有25万条 Legal Aid Agency 的记录形成于2007年以前；目前核实到的最早一条记录可追溯至1978年。
  • 最新公开范围还包括同一事件外泄材料中的有限缓刑数据，但记录时间跨度和服务对象分类都不能直接说明哪些个人的数据被取走。

1978年说明的是当前证据所能追溯到的年代，不是受影响人数。Ministry of Justice 表示，持续进行的分析发现约25万条 Legal Aid Agency 记录早于2007年，并核实到一条形成于1978年的记录。攻击于2025年4月23日被发现；5月16日，政府确认其范围超出最初认知。2026年10月14日的更新，是又一阶段技术和数据分析后的公开说明。它没有说这些年份的所有记录都被外泄，也没有说所有曾申请法律援助的人都受到影响。议会书面声明和配套的政府公开更新都明确区分了这些概念。

记录不等于个人。一条材料可能是付款、信函、申请，或案件管理系统中的一段信息。政府说资料因人而异，没有任何一份完整的法律援助案件记录受到影响。公开表格列出的字段可能包括姓名、地址、出生日期、国家身份号码、财务资料或案件细节；这并不意味着每个人的记录都含有全部字段。此前归档的Legal Aid Agency 事件常见问题将当时已知申请人数据的时间范围写为2007年至2025年5月16日。那是当时的判断，并非保证之后不会发现更早记录。

此次更新也改变了公开叙述中的服务边界。政府称，同一事件外泄材料中还包含 HM Prison and Probation Service 的有限信息，具体是缓刑服务数据。声明称这涉及2010年至2017年间由 Probation Services 管理的一小部分人员；该子集中超过99%的数据对应2016和2017年。这证明相关资料出现在从 Legal Aid Agency 系统中取走的材料里，并不证明 HMPPS 系统遭到入侵。政府也没有公布这一子集涉及多少个人。LAA 的更新页面称，所述 HMPPS 信息不涉及犯罪受害者。

这一界限说明，事件并非只是把已知年份往前延长。Ministry of Justice 表示，外泄资料中有相当一部分是零散、非结构化且不完整的。政府认为，这可能让窃取资料的人更难识别个人；但同样不能据此认定，处于某个年代或类别中的某个人就必然受影响。政府称目前没有迹象表明被盗数据已被公布或分享。“没有迹象”描述的是当下掌握的情况，并不能证明这些数据以后绝不会流传。

控制历史还有另一条时间线。政府6月表示，Legal Aid Agency 和 Ministry of Justice 的风险登记册自2021年以来已记录数字系统和网络安全风险；其称2022至2023财年对 LAA 基础设施的评估认为，这是部门内最复杂、最脆弱的基础设施。政府还说，2024至2025财年投入的1050万英镑增设了监测与告警，并称这些措施让攻击得以及时被发现。但遗留系统的剩余风险仍然很高。这些是政府公开的评估，不是对本次攻击原因的独立结论。议会对攻击发现和系统风险的答复列出了相关时间线。

两份财务报告说明，外泄范围与系统恢复需要不同证据。Legal Aid Agency 的2024至2025年度问责报告记载，早期评估认为事件局限于 LAA 系统，服务则依赖应急安排维持。后来发现的缓刑数据，是外泄材料中出现的信息；这本身并不能证明 HMPPS 系统被入侵。另一方面，Comptroller and Auditor General 检查了事件控制、数据完整性和 Ministry of Justice 账目中的付款记录，没有发现重大错报。这项审计结论针对的是财务报表，并不证明每一位数据被取走的人都已找到。

下一项有意义的指标

公开记录现在跨越数十年，但政府尚未公布受影响人数、能够识别的人数，也没有给出个人核查何时完成的时间表。它表示会在数据允许的情况下识别具体个人。这个条件很关键：大量记录的清单不会自动变成可靠的通知名单。后续证据应说明记录如何与个人关联、哪些关联仍不确定、哪些人已收到通知，以及未解决个案如何继续核查。