Des pirates informatiques dispersés emprisonnés pour une cyberattaque TfL qui a désactivé 148 systèmes

Deux pirates informatiques de Scattered Spider ont chacun été condamnés à cinq ans et six mois de prison pour la cyberattaque de 2024 contre Transport for London. La violation a désactivé 148 systèmes, forcé 27 000 employés à réinitialiser leurs mots de passe en personne et causé environ 29 millions de livres sterling de pertes et de coûts de récupération.

Thalha Jubair, d'East London, et Owen Flowers, de Walsall, ont reçu leur peine à Woolwich Crown Court le 16 juillet 2026. LeAnnonce de la peine de la National Crime Agencya décrit l'affaire comme la plus grande poursuite pour cybercriminalité intentée devant les tribunaux britanniques.

Les deux accusés ont plaidé coupables le 22 juin, jour où leur procès devait commencer. Ils ont reconnu une infraction en vertu de l'article 3ZA de la loi sur l'utilisation abusive de l'ordinateur de 1990, fondée sur leur imprudence quant à savoir si leurs actions avaient causé ou créé un risque important de dommages graves au bien-être humain.

Faits clés sur la cyberattaque TfL

Les attaquants ont infiltré le réseau informatique de TfL entre le 31 août et le 3 septembre 2024. TfL a détecté une activité suspecte le 1er septembre et restreint l’accès à certaines parties de son environnement pour protéger les systèmes critiques pour la sécurité.

Le confinement rapide de l’organisation a empêché l’attaque de paralyser le réseau de transport de Londres. Les services de métro, de bus et de train ont continué à fonctionner, mais de nombreux services administratifs et en contact avec la clientèle ont été perturbés.

LeRésumé du dossier du Crown Prosecution Servicea déclaré que TfL avait dû déconnecter certaines parties de son propre réseau pour éviter des dommages plus importants. Les procureurs ont déclaré que les messages échangés entre les accusés suggéraient qu'ils avaient discuté de la destruction ou de la suppression de l'accès aux systèmes.

Quels services TfL ont été perturbés ?

La cyberattaque a affecté les services utilisés par les passagers, les employés et les Londoniens vulnérables. Certains systèmes sont devenus indisponibles, tandis que d'autres ont dû fonctionner via des procédures manuelles.

Les services de réservation Dial-a-Ride ont été perturbés. Ce service assure le transport des personnes qui ne peuvent pas facilement utiliser les bus, les trains ou le métro de Londres en raison d'un handicap ou d'un problème de santé de longue durée.

L’incident a également affecté les remboursements Oyster, les cartes de voyage à prix réduits, les canaux de paiement numériques et les applications de cartes photo Oyster pour enfants et jeunes. Une extension prévue de la billetterie sans contact a été retardée.

Les données client ont été consultées

TfL a confirmé que les attaquants ont accédé à certaines informations client. Les données concernées comprenaient certains noms, coordonnées et informations liées aux remboursements par carte Oyster.

Dans sa mise à jouravis d'incident de cybersécurité, TfL a déclaré avoir contacté les clients concernés et informé le Bureau du commissaire à l’information. Le régulateur a clos l’affaire en février 2025 sans prendre de mesures contre TfL.

TfL a déclaré n'avoir trouvé aucune preuve que les informations obtenues lors de l'attaque aient ensuite été utilisées à mauvais escient. Les clients doivent toujours se méfier des messages inattendus prétendant être liés à des comptes Oyster, à des remboursements ou à des données personnelles compromises.

Comment les enquêteurs ont lié les pirates à l'attaque

Les enquêteurs ont saisi des ordinateurs portables, des tours d'ordinateurs, des disques durs et des périphériques USB de Flowers. Un ordinateur portable contenait une capture d'écran montrant une connexion à l'infrastructure TfL.

Le même appareil contenait des vidéos enregistrées lors de l'attaque qui montraient Jubair accédant aux systèmes de TfL, selon leCompte d'enquête de la NCA. Les enquêteurs ont également récupéré des conversations Telegram et des preuves selon lesquelles les deux hommes utilisaient un espace de travail en ligne partagé.

Des preuves reliant Jubair à l’intrusion ont également été obtenues de l’étranger. LePublication de la peine du CPSa déclaré que la coopération entre les autorités britanniques et internationales a aidé les procureurs à attribuer l'attaque.

• Une capture d'écran montre la connectivité réseau à l'infrastructure TfL.
• Des vidéos montraient Jubair accédant aux systèmes TfL pendant l’incident.
• Des messages télégraphiques ont documenté la communication entre les accusés.
• Un espace de travail à distance partagé a soutenu leur activité commune.
• Des preuves étrangères ont permis d’établir un lien entre Jubair et l’attaque.

Les fleurs ont également ciblé les organismes de santé américains

Flowers a reconnu des infractions distinctes liées aux attaques contre SSM Health et Sutter Health, deux organisations américaines de soins de santé. Les autorités ont découvert cette activité alors qu'elles enquêtaient sur son rôle dans l'attaque de TfL.

Il a plaidé coupable de deux infractions au titre de l’article 3 de la loi sur l’utilisation abusive d’ordinateurs en relation avec un complot et une tentative de détériorer les systèmes informatiques des établissements de santé.

Flowers a ensuite été de nouveau arrêté après avoir enfreint les conditions de sa libération sous caution concernant son utilisation d'appareils électroniques. Jubair a été accusé séparément de ne pas avoir fourni les codes PIN ou les mots de passe des appareils qui lui ont été saisis.

Le rôle de Scattered Spider dans l’attaque de TfL

La NCA a identifié Jubair et Flowers comme membres dirigeants de Scattered Spider, un collectif de cybercriminalité peu organisé associé à l'ingénierie sociale, au vol d'informations d'identification, à l'échange de cartes SIM et à l'extorsion de données.

Scattered Spider est connu pour cibler les employés et les services d’assistance plutôt que de s’appuyer uniquement sur des exploits techniques. Les attaquants liés au nom usurpent souvent l’identité de membres du personnel, manipulent le personnel d’assistance et tentent de contourner l’authentification multifacteur.

La NCA a déclaré que l’enquête et les arrestations avaient gravement perturbé les activités du groupe. Cependant, Scattered Spider fonctionne comme un collectif décentralisé et d'autres criminels peuvent continuer à utiliser ce nom ou des méthodes similaires.

Pourquoi les condamnations de la section 3ZA sont importantes

L'article 3ZA couvre les activités informatiques non autorisées qui provoquent ou créent un risque important de dommages matériels graves. Cela s'applique lorsqu'un contrevenant a l'intention de causer ce dommage ou agit de manière imprudente quant à sa réalisation.

Le fonctionnaireLégislation article 3ZAinclut un préjudice grave au bien-être humain, à l’environnement, à la sécurité nationale ou à l’économie d’un pays. Les sanctions potentielles sont donc plus sévères que celles prévues pour les infractions élémentaires d'accès non autorisé.

Les procureurs estiment que Jubair et Flowers sont les premiers pirates informatiques poursuivis avec succès en vertu de cet article. La NCA a décrit séparément la procédure comme étant seulement la deuxième poursuite pénale de ce type au Royaume-Uni, soulignant à quel point cette disposition a rarement été utilisée.

Les dommages économiques potentiels auraient pu être bien plus importants

Le coût confirmé pour TfL était d'environ 29 millions de livres sterling. Ce chiffre couvre les pertes directes, les travaux de restauration et les frais de récupération suite à l'attaque.

Les autorités ont déclaré qu’une fermeture réussie du réseau de transport de Londres aurait pu entraîner des pertes pouvant atteindre 56 milliards de livres sterling dans l’ensemble de l’économie britannique. Il s’agissait d’une estimation des risques et non des dommages réellement survenus.

La réponse de TfL a permis de maintenir les systèmes critiques en fonctionnement et d’empêcher l’incident d’arrêter les services de transport. Son publicmise à jour des incidentsaffirme que les processus critiques pour la sécurité ont été maintenus tout au long de l’intervention.

Leçons de cybersécurité pour les opérateurs d’infrastructures critiques

L'accusation montre comment une attaque contre les systèmes d'entreprise peut créer des risques pour les services publics même lorsque les systèmes de transport opérationnels restent disponibles. La gestion des identités, les bases de données clients, les services de paiement et l’accès des employés peuvent tous devenir des points de perturbation.

Les organisations doivent s'assurer que les procédures d'accès d'urgence ne dépendent pas entièrement des systèmes susceptibles d'être affectés lors d'une attaque. Les processus hors ligne testés peuvent aider à maintenir les fonctions critiques pendant que les réseaux sont confinés et restaurés.

Cette affaire démontre également l’importance de signaler rapidement les attaques. TfL a contacté les forces de l'ordre très tôt, permettant aux enquêteurs de préserver les preuves et de se coordonner avec les partenaires internationaux.

• Exigez des contrôles d’identité rigoureux pour la réinitialisation du mot de passe du service d’assistance.
• Utilisez une authentification multifacteur résistante au phishing pour les comptes privilégiés.
• Séparez les systèmes opérationnels critiques des réseaux d’entreprise et des clients.
• Maintenez des plans de récupération hors ligne testés et des sauvegardes sécurisées.
• Surveillez les outils d'accès à distance, les modifications de compte inhabituelles et les échecs d'authentification de masse.
• Conservez les journaux et contactez les forces de l’ordre rapidement après avoir détecté une intrusion.
• Examiner les obligations en vertuArticle 3ZA de la loi sur l'utilisation abusive d'ordinateurslors de l’évaluation des cyberincidents graves.

FAQ