OBR-PDF-läcka avslöjade Storbritanniens budget i förtid genom gissningsbart filnamn

OBR-PDF-läckan släppte den brittiska budgeten nästan en timme i förtid på grund av ett gissningsbart filnamn. Dokumentet låg offentligt tillgängligt på OBR:s webbplats innan det officiella tillkännagivandet. Händelsen skapade oro bland allmänheten och pressade myndigheter att granska sina rutiner för dokumenthantering.

Hur läckan uppstod

Office for Budget Responsibility laddade upp PDF-filen för höstbudgeten före den planerade publiceringen. Även om filen inte var direktlänkad följde URL:en samma namnmönster som äldre prognoser. Den förutsägbara strukturen gjorde dokumentet lätt att hitta.
Användare kunde nå den opublicerade filen genom att ändra månaden i den kända URL:en från en tidigare rapport i mars. Upptäckten krävde inga specialverktyg. En enkel manuell gissning exponerade det känsliga budgetmaterialet.

När misstaget uppmärksammades tog OBR bort dokumentet och bekräftade att läckan orsakades av ett procedurfel och inte av ett angrepp. Händelsen visade riskerna med återkommande namngivningskonventioner.

Varför förutsägbara filnamn innebär risk

Förutsägbara filnamn gör att organisationer riskerar oavsiktlig exponering. Automatiska skanningsverktyg och manuella försök hittar ofta olänkade filer. När känsliga dokument följer tydliga mönster ökar sannolikheten för tidig åtkomst kraftigt.

Centrala risker inkluderar:

• Upprepade mönster gör det möjligt att gissa nya filnamn
• Känsliga dokument kan nås innan officiell publicering
• Automatiserade verktyg kan upptäcka olänkade filer genom enkel crawling
• Organisationer tappar kontroll över tidpunkt och distribution
• Marknadspåverkande information kan nå allmänheten i förväg

Den här händelsen visade hur små förbiseenden kan få stora konsekvenser. Myndigheter måste se filnamngivning som en del av ett bredare säkerhetsarbete.

Vad säkerhetsexperter rekommenderar

Experter föreslog flera förbättringar som minskar exponering och stärker dokumentkontroll:

Använd plattformar med tidsstyrda spärrar
System bör blockera åtkomst fram till schemalagd publicering.

Inför slumpmässiga filnamn
Unika identifierare minskar risken för oavsiktlig upptäckt.

Skärp interna behörigheter
Åtkomst bör hållas begränsad fram till officiell publicering.

Krav på arbetsflödeschecklistor
Obligatoriska granskningssteg förhindrar stressade uppladdningar och förutsägbara mönster.

Dessa åtgärder stärker kontrollen över material före publicering och minskar risken för oavsiktlig exponering.

OBR:s svar och utredning

OBR inledde en intern utredning och tog hjälp av Ciaran Martin, tidigare chef för Storbritanniens National Cyber Security Centre. Tjänstemän beskrev läckan som ett tekniskt och procedurmässigt fel. De bad offentligt om ursäkt och meddelade att organisationen ska stärka sina publiceringsrutiner.

Finansdepartementet uttryckte också oro över marknadskänsligheten kring budgetdokument. Den tidiga publiceringen visade hur ett enda procedurfel kan störa kommunikationsplaner och påverka offentlig aktivitet.

Slutsats

OBR-PDF-läckan avslöjade den brittiska budgeten i förtid på grund av ett gissningsbart filnamn. Händelsen belyste svag dokumenthantering och visade varför strikta publiceringskontroller är avgörande för myndigheter. Starkare arbetsflöden, slumpmässiga filnamn och automatiserade spärrsystem är centrala steg för att förhindra liknande incidenter.