EN 30 SEGUNDOS
- ¿Qué ha pasado? La Base de Datos Legal Nacional de la Policía británica (PNLD) ha sido hackeada, filtrándose en la dark web los datos de más de 100.000 agentes y personal de apoyo.
- ¿Quién está detrás? Un grupo de cibercriminales denominado ExfilSquad, sin afiliación ideológica conocida y que actúa exclusivamente para obtener beneficios económicos.
- ¿Qué impacto tiene? Los agentes expuestos quedan en una situación de riesgo personal para su seguridad y la de sus familias; el ataque evidencia fallos sistémicos en la protección de datos sensibles de las fuerzas de seguridad.
Más de 100.000 agentes y empleados de la Policía del Reino Unido han visto sus datos personales expuestos en la dark web tras un ciberataque a la Base de Datos Legal Nacional de la Policía (PNLD, por sus siglas en inglés), la herramienta de referencia jurídica para las fuerzas de seguridad de Inglaterra y Gales. Según adelantó The Times, la brecha se produjo apenas unos días después de que los mismos atacantes publicaran más de medio millón de registros confidenciales del Ministerio de Educación británico. La filtración incluye nombres y direcciones de correo electrónico de los 114.000 suscriptores del PNLD, en su inmensa mayoría agentes en activo.
La intrusión no se limitó al cuerpo policial. El hackeo ha comprometido los los datos de 2.615 empleados del Crown Prosecution Service (el equivalente a la Fiscalía), 617 funcionarios del Ministerio del Interior (Home Office), 588 trabajadores de la Agencia Nacional contra el Crimen y 402 miembros del Ministerio de Defensa, según las fuentes consultadas por el rotativo. Además, las direcciones de correo electrónico de alrededor de 21.000 ciudadanos que habían utilizado el portal Ask the Police para realizar consultas anónimas también acabaron en foros clandestinos.
Hasta el momento no se ha confirmado la sustracción de contraseñas ni credenciales de acceso, aunque las autoridades mantienen abierta la investigación. El grupo responsable, autodenominado ExfilSquad, no responde a ninguna motivación política o ideológica, según los analistas de inteligencia consultados por The Times. Sus miembros operan como una empresa criminal: atacan sistemas vulnerables y exigen un rescate a las víctimas a cambio de retirar los datos del mercado negro.
En un mensaje publicado en la dark web, el colectivo instó a los afectados a “ser listos y simplemente pagar”. El texto comparaba el pago exigido con “un error de redondeo” frente a los costes judiciales que podría acarrear la difusión de la información privada. “La cantidad que solicitamos es insignificante comparada con los gastos de litigación que sufriríais si vuestros datos se filtran”, argumentaban.
La presidenta de la Federación de Policía, Tiff Lynch, calificó el ataque de “extremadamente preocupante para la seguridad de los agentes y del personal”. Subrayó que las fuerzas de seguridad deben recibir “una financiación adecuada que garantice las máximas salvaguardas en ciberseguridad” para proteger la información personal de quienes sirven al Estado. Un portavoz del número 10 de Downing Street se limitó a señalar que el Gobierno dispone de “capacidades dedicadas a responder a incidentes cibernéticos” y que no sería apropiado comentar una investigación en curso.
La filtración de los datos de 100.000 policías convierte a cada uno de ellos en un blanco potencial para el crimen organizado y el terrorismo doméstico.
Alcance del ciberataque: más de 114.000 afectados
La PNLD es una herramienta de acceso restringido que centraliza legislación, jurisprudencia y procedimientos operativos para los cuerpos de seguridad de Inglaterra y Gales. Que los atacantes hayan conseguido penetrarla sugiere un fallo importante en los controles de acceso o en la segmentación de red. El padrón de suscriptores robado no solo expone a los agentes al hostigamiento en línea o a la suplantación de identidad, sino que puede servir para trazar perfiles de unidades sensibles, como las de lucha antiterrorista o las de protección de testigos.
La simultaneidad con el asalto al Ministerio de Educación, del que se extrajeron 500.000 registros, apunta a una campaña sistemática de ExfilSquad contra el sector público británico. En ambos casos, el modus operandi ha sido idéntico: intrusión, copia masiva de datos y posterior demanda de rescate bajo la amenaza de mantener la información a la venta en foros de la dark web. Ninguna de las dos instituciones ha confirmado si se ha pagado cantidad alguna.
ExfilSquad: cibercrimen sin ideología y con ánimo de lucro
ExfilSquad no es un actor patrocinado por un Estado —al menos, no se han encontrado evidencias que lo vinculen a Moscú, Pekín o Teherán—. Su comportamiento encaja en el de los grupos de ransomware más agresivos que han proliferado desde 2022, aunque en esta ocasión el objetivo no ha sido cifrar sistemas sino únicamente robar datos para chantajear. La diferencia es relevante: al no inutilizar la infraestructura, las víctimas pueden seguir operando, pero la presión psicológica sobre los individuos cuyos datos han quedado expuestos es mucho mayor.
El mensaje de los delincuentes es un manual de extorsión moderno: pagan ustedes o asumen las consecuencias de demandas millonarias. La cita textual —“sean inteligentes y paguen”— revela una estrategia basada en el cálculo económico de las organizaciones atacadas. Para un agente de policía, la revelación de su identidad y su correo electrónico puede traducirse en amenazas directas contra él o su familia, especialmente si trabaja en unidades que investigan al crimen organizado.
Equilibrio de Poder
Desde la perspectiva de la seguridad nacional, este ciberataque no es un mero incidente aislado. El Reino Unido, como miembro fundador de la OTAN y uno de los principales aliados de Estados Unidos en el plano de la inteligencia, gestiona bases de datos compartidas con Europol y con agencias como el FBI o la DEA. La filtración de un padrón completo de agentes erosiona la confianza en los sistemas de seguridad de un socio clave y puede ralentizar el intercambio de información sensible entre aliados. En 2023, un ataque de ransomware contra una empresa proveedora de servicios informáticos de la Policía Metropolitana de Londres y de la de Gran Manchester ya había comprometido datos de miles de agentes; la repetición del patrón indica que los procedimientos de blindaje no han escalado al mismo ritmo que las amenazas.
Para España, el caso encierra una lección directa. Las bases de datos del Cuerpo Nacional de Policía y de la Guardia Civil, así como los sistemas de información de los Mossos d’Esquadra o la Ertzaintza, albergan volúmenes similares de datos personales de sus efectivos. Un incidente equivalente en nuestro país pondría en riesgo no solo a los agentes, sino a investigaciones en curso contra el narcotráfico en el Estrecho, las mafias que operan en el Levante o las células yihadistas detectadas en Cataluña. El Centro Criptológico Nacional (CCN-CERT) ha reforzado en los últimos años los protocolos de protección de infraestructuras críticas, pero la Directiva NIS2, transpuesta en 2025, obliga a los Estados miembro a elevar aún más los estándares de ciberseguridad en servicios esenciales, incluyendo los de las fuerzas de seguridad.
El ataque de ExfilSquad ilustra, asimismo, la paradoja de la ciberdelincuencia actual: actores sin bandera ni ideología pueden generar un daño reputacional y operativo equiparable al de un servicio de inteligencia hostil. La ausencia de contraseñas comprometidas reduce la gravedad técnica inmediata, pero el valor de la información personal de los agentes para redes criminales es muy superior al de cualquier credencial de acceso. La próxima ventana crítica para evaluar la respuesta británica será la comparecencia prevista del titular de Interior ante el Parlamento de Westminster a finales de septiembre; mientras tanto, la policía del Reino Unido se enfrenta a un desafío de confianza ciudadana que tardará años en recomponerse.
