ParGreta RufinoavecAFP
Publié le
Un tribunal britannique a condamné jeudi deux jeunes hommes à la prison pour une cyberattaque en 2024 contre l’opérateur de transports publics de Londres qui a exposé les données personnelles de millions de clients dans l’une des plus grandes violations de données de Grande-Bretagne.
PUBLICITÉ
PUBLICITÉ
Thalha Jubair, 20 ans, de l’est de Londres, et Owen Flowers, 18 ans, des West Midlands en Angleterre, ont chacun été condamnés à cinq ans et demi de prison par la Woolwich Crown Court de Londres.
Les deux hommes ont plaidé coupable le mois dernier pour avoir piraté le réseau Transport for London (TfL) entre le 31 août et le 3 septembre 2024, obtenant ainsi accès aux noms et coordonnées d’environ sept millions de clients.
“Deux hommes ont été reconnus coupables d’avoir lancé une cyberattaque contre Transport for London qui a coûté des dizaines de millions de livres sterling de pertes et touché des milliers de clients”, a écrit la police de la ville de Londres dans X.
Selon le juge Mark Turner, l’attaque n’a pas perturbé les services de transport mais a laissé certaines parties des systèmes de TfL hors ligne pendant trois mois, coûtant à l’organisation environ 25 millions de livres sterling (29,3 millions d’euros).
Turner a déclaré que les actions du couple avaient provoqué une perturbation « très grave » et étaient principalement motivées par une « bravade égoïste ».
Comment les pirates ont-ils accédé au réseau de TfL ?
Selon le procureur Mark Fenhalls, les deux hommes ont eu accès au réseau de transport en utilisant les informations d’identification des employés de TfL trouvées sur “russianmarket”, un marché du dark web pour les identifiants volés.
Les deux hommes ont travaillé pendant 16 heures d’affilée, communiquant via l’application de messagerie Telegram toute la nuit, pour pirater le système après avoir convaincu le service d’assistance de réinitialiser le mot de passe d’un employé.
Lors de l’intrusion, les adolescents ont recherché sur le Web des récits de voyages de célébrités et ont tenté d’accéder aux informations de paiement des clients.
Après avoir obtenu des privilèges supplémentaires pendant plusieurs jours, les pirates possédaient effectivement « les clés du royaume », leur donnant « le contrôle de l’ensemble du réseau », a expliqué Fenhalls.
Lors de l’intrusion, Flowers a déclaré à Jubair que “le gouvernement mérite d’être piraté”, a entendu le tribunal, car il a fallu des jours à TfL et aux autorités, qui ont découvert l’attaque le 1er septembre 2024, pour reprendre le contrôle du réseau.
“Expérimenté et talentueux”
Les deux hommes étaient liés à Scattered Spider, un groupe de cybercriminalité soupçonné d’être à l’origine d’une série d’attaques très médiatisées, notamment celles visant les détaillants britanniques Marks & Spencer et Co-op.
Arrêtés en septembre 2025 à la suite d’une enquête menée par la National Crime Agency (NCA), les procureurs ont décrit les deux hommes comme des hackers « expérimentés et talentueux » connus de la police depuis des années.
Flowers a également admis avoir piraté les prestataires de soins de santé américains Sutter Health et SSM Health Care Corporation. La NCA a déclaré que les agents l’avaient trouvé en train de mener ces attaques lors d’une descente à son domicile le 6 septembre 2024 dans le cadre de l’enquête de TfL.
Jubair avait déjà été condamné en tant que mineur pour des cyberattaques visant le fabricant américain de puces Nvidia et avait également reconnu avoir piraté la police de la ville de Londres.
