Un examen de la cyberattaque subie par la Legal Aid Agency britannique a élargi le périmètre connu des données volées. Il a identifié environ 250 000 enregistrements créés avant 2007 et confirmé que le plus ancien enregistrement vérifié date de 1978.
La violation a eu lieu en avril 2025 et a été rendue publique en mai 2025. À ce moment-là, l'agence indiquait que les attaquants avaient accédé à des informations personnelles concernant des personnes ayant demandé une aide juridictionnelle via son service en ligne depuis 2010, et les avaient extraites. L'évaluation la plus récente étend la période principale des données à janvier 2007 et identifie des enregistrements plus anciens en dehors de cette période.
Les résultats ne permettent pas de dire combien de personnes sont touchées. Un enregistrement ne correspond pas forcément à une personne unique. La LAA a d'ailleurs mis en garde contre une interprétation erronée : la présence de données antérieures à 2007 ne signifie pas que toutes les personnes ayant eu affaire à l'aide juridictionnelle ou au système judiciaire avant cette année étaient concernées.
L'examen révèle une période de données beaucoup plus longue
Selon le rapport de SecurityWeek sur la mise à jour de la LAA, l'environnement compromis contenait de grandes quantités d'informations fragmentées, incomplètes ou non structurées, réparties sur plusieurs systèmes. Il a donc été plus difficile pour les enquêteurs de déterminer précisément ce qui avait été consulté et copié.
Le jeu de données principal couvre les demandes, les réclamations et les paiements soumis entre janvier 2007 et le 16 mai 2025, ainsi que les dossiers encore actifs pendant cette période, selon The Record.
Les enquêteurs ont également identifié environ 250 000 enregistrements plus anciens. La LAA indique que la plupart datent des années 1990 et 2000, tandis que seul un « nombre infime » est antérieur à 1990. Le plus ancien enregistrement vérifié lors de l'examen date de 1978.
Une partie distincte des données compromises concerne un nombre relativement restreint de délinquants suivis activement par les services de probation entre 2010 et 2017. Les champs signalés comprennent les noms, les dates de naissance, les nationalités et les numéros de dossier.
Des informations financières, d'identité et de dossiers étaient concernées
Les données attribuées aux demandeurs et bénéficiaires de l'aide juridictionnelle comprennent :
- les noms et dates de naissance ;
- les numéros National Insurance ;
- les numéros de dossier ;
- les dates de début et de fin des dossiers ;
- les types d'aide juridictionnelle et les codes de suivi de l'égalité ;
- les codes postaux, adresses et numéros de téléphone ;
- les frais et la TVA réclamés ou payés ;
- les réponses saisies dans le Client and Cost Management System ;
- les évaluations financières concernant les défendeurs et leurs conjoints ;
- les informations sur les comptes bancaires et les biens immobiliers ;
- dans certains cas, des données partiellement masquées de cartes de paiement.
Les systèmes touchés contenaient également des informations sur les professionnels de l'aide juridictionnelle, notamment les contrats, les grilles tarifaires, les adresses des bureaux, les coordonnées de paiement et les identifiants de comptes utilisateurs.
D'autres enregistrements peuvent identifier des juges, des avocats, des avocats plaidants, des procureurs et des avocats de la défense, des sténographes judiciaires, des parties à certaines procédures civiles et des responsables de points de paiement. La présence de ces catégories signifie que les conséquences ne se limitent pas aux personnes ayant directement soumis une demande d'aide juridictionnelle.
Des associations ont exprimé une inquiétude particulière : les données volées pourraient contenir des informations sensibles sur des femmes et des jeunes filles ayant survécu à des violences conjugales. Il s'agit d'un risque identifié par ces associations, et non d'une constatation confirmée concernant des personnes précises. Les antécédents judiciaires figuraient également parmi les catégories potentiellement concernées dans l'annonce de mai 2025.
Les attaquants ont exploité des failles dans l'ensemble des systèmes de la LAA
Le ministre de la Justice, Sarah Sackman, a déclaré devant le Parlement que des criminels avaient exploité des vulnérabilités dans les systèmes informatiques de la LAA, avaient atteint des systèmes contenant des données personnelles, puis avaient copié et retiré une partie de ces informations.
Cette description indique que l'intrusion a touché plusieurs systèmes et non une seule base de données. Le volume et la structure hétérogène des informations ont exigé des équipes techniques et de gestion des données spécialisées pour reconstituer ce que les attaquants avaient obtenu.
Les attaquants affirment détenir des informations sur plus de 2 millions de personnes et menacent de les publier s'ils ne sont pas payés. Ce chiffre reste une affirmation des attaquants, et non un décompte vérifié des personnes concernées. Le gouvernement britannique maintient sa politique de refus de tout paiement lié à une extorsion.
La LAA affirme n'avoir trouvé aucune preuve que les informations volées aient été publiées ou vendues publiquement. Sarah Sackman a de même déclaré au Parlement qu'aucun élément n'indiquait que ces données avaient été publiées ou partagées. Cette position diffère de celle exprimée en mai 2025 par un porte-parole du ministère, qui parlait d'une publication une question de « quand, et non si ».
Renforcement de l'authentification et contrôle des systèmes hérités
Le ministère de la Justice a renforcé les contrôles d'authentification et d'accès, élargi la surveillance de sécurité et commencé à retirer ou à isoler les systèmes hérités les plus exposés. Il collabore également avec la National Crime Agency, le National Cyber Security Centre et l'Information Commissioner's Office.
Pour les personnes dont les informations d'identité, financières ou relatives à leurs dossiers pourraient être concernées, la combinaison de numéros National Insurance, de coordonnées et de références de dossiers juridiques pourrait rendre crédibles des messages trompeurs. Les communications non sollicitées qui citent des détails authentiques de dossiers doivent donc être vérifiées par les canaux de contact établis, et non à partir des liens ou des numéros de téléphone figurant dans le message.
Les professionnels dont les identifiants de compte ont pu être stockés dans les systèmes touchés doivent éviter de réutiliser les mêmes mots de passe sur d'autres services et changer tout identifiant réutilisé. Les personnes dont les informations bancaires ou les données partielles de carte ont pu être concernées doivent également surveiller les transactions inattendues et les demandes suspectes qui mentionnent des paiements ou des dossiers d'aide juridictionnelle.
