La BBC a révélé ce vendredi qu’une cyberattaque ayant ciblé l’opérateur des transports de Londres en septembre 2024 a potentiellement entraîné l’un des plus importants vols de données du pays, avec dix millions de personnes concernées.

C’est potentiellement l’un des plus importants vols de données au Royaume-Uni. D’après la BBC, les données de 10 millions de personnes ont été dérobées lors d’une cyberattaque ayant visé en 2024 l’opérateur des transports de la capitale britannique, Transport for London (TfL).

Contacté par l’AFP, TfL, qui dénombre jusqu’à 5 millions de trajets par jour dans le seul métro londonien, dit avoir envoyé un mail au moment de l’incident en septembre 2024 « à tous les clients pour lesquels nous avions une adresse électronique », soit plus de 7 millions. Il s’agissait de « les informer de la possibilité que certaines données aient été dérobées », poursuit l’opérateur – sans confirmer le chiffre de la chaîne britannique.

Des coordonnées bancaires potentiellement consultées

La BBC explique avoir eu accès aux données volées grâce à une source issue du milieu du piratage informatique, évoquant des noms, adresses email et postales ou encore numéros de téléphones « d’environ 10 millions de personnes ». Au moment de l’attaque, qui n’avait pas eu de conséquences sur les services de transports en eux-mêmes, le groupe avait reconnu que des informations personnelles de clients avaient été consultées, mais parlait d’un impact « très limité ».

A l’époque, « nous avons identifié environ 5.000 clients nécessitant une assistance, car nous savions que certaines de leurs données de remboursement », notamment leurs coordonnées bancaires, « avaient pu être consultées », a précisé vendredi un porte-parole de TfL.

Deux hommes ont été formellement accusés l’an dernier par la justice britannique dans cette affaire. Alors âgés de 18 et 19 ans, ils sont soupçonnés de faire partie d’un collectif criminel en ligne connu sous le nom de « Scattered Spider » (araignée dispersée). Leur procès débutera en juin.

Parmi les cyberattaques ayant touché le plus de personnes au Royaume-Uni ces dernières années figure celle contre la Commission électorale entre 2021 et 2022. Elle avait permis à un « acteur malveillant » d’accéder aux registres électoraux, contenant les données de 40 millions d’électeurs, selon le régulateur britannique de la protection des données (ICO).

Le Royaume-Uni a connu plusieurs cyberattaques majeures l’an dernier, visant notamment des chaînes de magasins comme Marks & Spencer (M&S), Harrods et Co-op, mais aussi le constructeur automobile Jaguar Land Rover, mis à l’arrêt pendant plus d’un mois.

Source