De Britse kiescommissie heeft de gegevens van veertig miljoen kiezers gelekt omdat het had nagelaten updates voor een Exchange-server te installeren. Dat laat de Britse privacytoezichthouder ICO weten, dat de Electoral Commission een berisping heeft gegeven. De kiesregisters die op het moment van de aanval aanwezig waren bevatten de gegevens van iedereen die tussen 2014 en 2022 als kiezer in het Verenigd Koninkrijk was geregistreerd. Het gaat om namen en adresgegevens, alsmede namen van overzeese kiezers.

Uit het onderzoek van de ICO blijkt dat een aanvaller op 24 augustus 2021 via drie bekende kwetsbaarheden in Microsoft Exchange Server 2016, bekend als ProxyShell, toegang tot de server kreeg. Vervolgens installeerde de aanvaller een webshell om toegang te behouden en verdere aanvallen uit te voeren. Op 3 oktober 2021 wist een tweede aanvaller via de ProxyShell-kwetsbaarheden toegang tot de server te krijgen.

Op 28 oktober werd via de Exchange Server van de kiescommissie spam verstuurd. Een vervolgens uitgevoerde scan liet zien dat er malware op het systeem aanwezig was. Deze malware werd verwijderd. Tevens werd een penetratietest uitgevoerd. De kiescommissie informeerde ook het Britse National Cyber Security Centre. Dat adviseerde een breder onderzoek uit te voeren, maar de kiescommissie stelde dat incident geïsoleerd was en besloot geen verdere acties uit te voeren, mede vanwege een aanstaande cloudmigratie.

Volgens de ICO had de kiescommissie op het moment van het incident geen passend patchproces, waardoor de Exchange Server kwetsbaar bleef. Microsoft bracht in april en mei 2021 updates uit voor de ProxyShell-kwetsbaarheden. Het onderzoek van de ICO bracht ook acht andere aanwezige kwetsbaarheden aan het licht. Verder bleek ook het wachtwoordbeleid inadequaat te zijn en waren wachtwoorden eenvoudig te kraken of raden.

"Als de Electoral Commission basale maatregelen had genomen om de eigen systemen te beschermen, zoals effectief patchmanagement en wachtwoordmanagement, was het zeer waarschijnlijk dat dit datalek zich niet had voorgedaan. Door de laatste beveiligingsupdates niet tijdig te installeren waren de systemen kwetsbaar voor hackers", aldus de ICO.

Naar aanleiding van het incident heeft de kiescommissie verschillende maatregelen genomen, waaronder het implementeren van multifactorauthenticatie, monitoring en password policy controls. De ICO stelt dat de kiescommissie de Britse privacywet heeft overtreden maar houdt het bij een reprimande. De Britse privacytoezichthouder hanteert beleid waarbij het zeer terughoudend is met het opleggen van boetes aan de publieke sector. Het idee hierachter is dat dergelijke boetes met gemeenschapsgeld worden betaald en ervoor zorgen dat de instantie in kwestie minder geld voor het uitvoeren van publieke taken beschikbaar heeft.