L’Agence britannique d’aide juridique (LAA) a confirmé que la cyberattaque dont ses systèmes ont été victimes en avril 2025 avait entraîné le vol de dossiers remontant jusqu’à 1978, dans une ampleur bien supérieure aux estimations initiales, qui se concentraient sur les données de paiement et les informations récentes concernant les usagers.
L’agence, qui relève du ministère britannique de la Justice, gère les services de défense publique et le financement de l’aide juridique en Angleterre et au pays de Galles. Elle emploie environ 1 250 personnes et travaille également avec près de 2 000 prestataires de services, notamment des avocats, des cabinets d’avocats et des organisations à but non lucratif.
Étendue des données volées
L’agence avait révélé le piratage au début du mois de mai 2025, avertissant que les informations de paiement des prestataires de services d’aide juridique pourraient avoir été compromises. Deux semaines plus tard, elle a confirmé que l’incident concernait un ensemble plus vaste de données sensibles, datant pour la plupart de 2010 et des années suivantes.
Selon l’agence, les données concernées comprennent les coordonnées, les dates de naissance, les numéros d’identification nationale, les antécédents judiciaires et la situation professionnelle, ainsi que les montants des contributions, les dettes et les paiements. Elles incluent également, pour les prestataires de services, les contrats, les adresses des bureaux, les informations financières, les coordonnées et les identifiants du portail LAA Online Portal, notamment les noms et les adresses e-mail.
Une analyse ultérieure des données extraites des systèmes a montré qu’environ 250 000 dossiers remontaient à avant 2007. La grande majorité de ces dossiers date des années 1990 et de la première décennie du millénaire, tandis qu’un très petit nombre remonte à avant 1990. Le dossier le plus ancien vérifié date de 1978.
Qu’est-ce que cela signifie concrètement ?
La présence de dossiers anciens ne signifie pas que toute personne ayant demandé ou reçu une aide juridique, ou ayant eu affaire au système judiciaire avant 2007, a été touchée par le piratage. L’agence n’a pas encore établi de lien entre l’ensemble des dossiers historiques et des personnes précises dans les données volées. Toutefois, l’étendue de la période concernée accroît la gravité de l’incident, car elle associe des données d’identification et financières à des informations liées aux affaires et aux antécédents judiciaires.
Le ministère britannique de la Justice a déclaré qu’il n’existait actuellement aucune preuve de publication de données personnelles susceptibles d’avoir été volées. Il a précisé que le gouvernement avait affecté 20 millions de livres sterling avant l’attaque à la stabilisation et à la modernisation des systèmes numériques de l’agence, tandis que les nouveaux investissements consacrés à la modernisation des services numériques et au renforcement de la résilience et de la cybersécurité avaient dépassé 200 millions de livres sterling.
Un contexte plus large d’attaques contre le secteur public
Le piratage de l’agence s’inscrit dans une série d’attaques visant des institutions britanniques, notamment les chaînes Co-op, Harrods et Marks & Spencer, attribuées à l’opération de rançongiciel DragonForce. Cela a incité le Centre national de cybersécurité du Royaume-Uni (NCSC) à publier des recommandations destinées aux organisations britanniques afin de renforcer leurs défenses.
Le Royaume-Uni a également annoncé en janvier une nouvelle stratégie de cybersécurité, soutenue par plus de 210 millions de livres sterling, tandis que le médiateur britannique du logement a déclaré cette semaine enquêter sur un incident de sécurité chez un prestataire tiers ayant affecté son système de gestion des dossiers. Ces développements montrent que la protection des systèmes anciens et des données historiques constitue un élément essentiel de la gestion des risques du secteur public, et pas seulement une question de mise à niveau technique.