Les données personnelles de 10 millions d'usagers des transports londoniens piratées

Les données de 10 millions de personnes ont été dérobées lors d’une cyberattaque ayant visé en 2024 l’opérateur des transports de la capitale britannique, Transport for London (TfL), ce qui en ferait l’un des plus importants vols de données du pays, affirme la BBC vendredi.

Contacté par l’AFP, TfL, qui dénombre jusqu’à 5 millions de trajets par jour dans le seul métro londonien, dit avoir envoyé un mail au moment de l’incident en septembre 2024 « à tous les clients pour lesquels nous avions une adresse électronique », soit plus de 7 millions.

Il s’agissait de « les informer de la possibilité que certaines données aient été dérobées », poursuit l’opérateur - sans confirmer le chiffre de la chaîne britannique.

Le BBC explique avoir eu accès aux données volées grâce à une source issue du milieu du piratage informatique, évoquant des noms, adresses emails ou encore numéros de téléphones ou adresses postales « d’environ 10 millions de personnes ».

Au moment de l’attaque, qui n’avait pas eu de conséquences sur les services de transports en eux-mêmes, le groupe avait reconnu que des données personnelles de clients avaient été consultées, mais parlait d’un impact « très limité ».

A l’époque, « nous avons identifié environ 5000 clients nécessitant une assistance, car nous savions que certaines de leurs données de remboursement », notamment leurs coordonnées bancaires, « avaient pu être consultées », a précisé vendredi un porte-parole de TfL.

Deux hommes ont été formellement accusés l’an dernier par la justice britannique dans cette affaire. Alors âgés de 18 et 19 ans, ils sont soupçonnés de faire partie d’un collectif criminel en ligne connu sous le nom de «Scattered Spider » (araignée dispersée). Leur procès débutera en juin.

Parmi les cyberattaques ayant touché le plus de personnes au Royaume-Uni ces dernières années figure celle contre la Commission électorale entre 2021 et 2022. Elle avait permis à un « acteur malveillant » d’accéder aux registres électoraux, contenant les données de 40 millions d’électeurs, selon le régulateur britannique de la protection des données (ICO).

Le Royaume-Uni a connu plusieurs cyberattaques majeures l’an dernier, visant notamment des chaînes de magasins comme Marks & Spencer (M&S), Harrods et Co-op, mais aussi le constructeur automobile Jaguar Land Rover, mis à l’arrêt pendant plus d’un mois.