Ils ont piraté le métro de Londres pendant seize heures : l’un d’eux envisageait aussi de s’en prendre à un patient sous respirateur

Deux jeunes hommes de 18 et 20 ans ont été condamnés à cinq ans et demi de prison chacun pour avoir paralysé les transports londoniens en 2024. L'un d'eux menaçait, au même moment, de s'en prendre à des hôpitaux américains

Il fait nuit à Londres, fin août 2024, quand deux jeunes hommes commencent à s'écrire sur Telegram. Pendant seize heures d'affilée, ils vont s'échanger des messages, se filmer l'un l'autre en direct, et transformer le réseau informatique de Transport for London en terrain de jeu. Ce mercredi, à la Woolwich Crown Court, Thalha Jubair, 20 ans, et Owen Flowers, 18 ans, ont appris le prix de cette nuit-là : cinq ans et demi de prison chacun, dans ce que les autorités britanniques qualifient déjà de plus grande affaire de cybercriminalité jamais jugée dans le pays.

 Une nuit entière pour voler les clés du métro

Tout commence par un simple appel téléphonique. Les deux jeunes hommes parviennent à convaincre le service d'assistance informatique de Transport for London de réinitialiser un mot de passe auquel ils n'avaient aucun droit, une technique d'ingénierie sociale aussi rudimentaire qu'efficace. Une fois entrés, ils se connectent à Microsoft Azure et commencent, selon l'accusation, à utiliser les propres systèmes de TfL pour attaquer TfL de l'intérieur, remontant peu à peu la chaîne des autorisations jusqu'à obtenir ce que l'accusation a appelé « les clés du royaume », c'est-à-dire un accès aux privilèges les plus élevés du réseau.

« Ils ont utilisé les propres systèmes de TfL pour attaquer TfL de l'intérieur »

Ce genre de manipulation, connue des spécialistes sous le nom d'ingénierie sociale, ne nécessite ni logiciel sophistiqué ni faille technique complexe : elle repose sur la capacité à convaincre un être humain, de bonne foi, d'accorder une confiance qu'il n'aurait jamais dû accorder. C'est précisément cette faiblesse, plus humaine que technologique, qui a permis à deux jeunes hommes de contourner des systèmes de sécurité informatique pourtant conçus pour protéger l'une des plus grandes autorités de transport public au monde.

Pendant cette intrusion de plusieurs jours, entre le 31 août et le 3 septembre 2024, les deux complices créent des machines virtuelles pour effacer leurs traces, installent plusieurs portes dérobées dans le système et téléchargent des millions de lignes de données. Flowers filme même Jubair en train d'accéder aux systèmes de TfL, tout en échangeant en parallèle sur Telegram et sur un outil de travail collaboratif à distance. Dans leurs messages, les deux hommes évoquent la possibilité de « faire sauter les accès » du réseau tout entier.

◆ Vingt-sept mille mots de passe à réinitialiser en personne

L'ampleur des dégâts ne se mesure pas seulement en données volées. Face à la gravité de l'intrusion, Transport for London n'a eu d'autre choix que de débrancher elle-même une partie de son réseau pour éviter une propagation incontrôlable. Ses 27 000 employés ont dû se rendre en personne dans les bureaux de l'entreprise pour faire réinitialiser leurs identifiants, un par un, tandis que plus de 140 systèmes informatiques devenaient inutilisables du jour au lendemain, certains nécessitant des solutions de contournement manuelles pendant plusieurs semaines.

Le système de remboursement lié aux cartes Oyster, utilisées par des millions de voyageurs londoniens au quotidien, a été directement compromis, laissant certains usagers sans remboursement pendant bien plus longtemps que d'habitude. Le service de demande de cartes Oyster destinées aux enfants et aux jeunes a lui aussi dû fermer temporairement, une conséquence concrète pour des milliers de familles totalement étrangères aux motivations des deux pirates.

Certains des systèmes rendus inopérants nécessitaient, selon les autorités, des contournements manuels si contraignants que plusieurs équipes internes de TfL ont dû revenir, l'espace de plusieurs semaines, à des méthodes de travail largement dépassées, faute de pouvoir s'appuyer sur les outils numériques habituels. Cette régression forcée, aussi discrète soit-elle pour le grand public, a représenté un coût organisationnel que les seuls chiffres financiers communiqués par TfL ne suffisent pas à mesurer pleinement.

 Vingt-neuf millions de livres, et une catastrophe évitée de justesse Sur le plan strictement financier, TfL évalue à 29 millions de livres sterling le coût des pertes directes et des opérations de remise en état de ses systèmes, auxquelles s'ajoutent environ 10 millions de livres de pertes de recettes liées à la paralysie partielle du réseau. Mais selon l'accusation, cette facture, déjà considérable, n'était qu'une fraction de ce qui aurait pu se produire si les deux hommes avaient poussé leur intrusion jusqu'à son terme.

« Ils auraient pu couper et détruire complètement les systèmes de TfL, avec un risque de dégâts se chiffrant en milliards de livres pour l'économie britannique »

Une estimation évoquée devant le tribunal a même avancé un coût potentiel pouvant atteindre 56 milliards de livres pour l'économie britannique si le réseau de transport londonien s'était retrouvé totalement paralysé. Une déclaration d'impact rédigée par TfL et lue à l'audience a rappelé que les conséquences n'auraient pas été qu'économiques.

« Un impact sérieux sur le public voyageur, y compris ceux qui se rendaient à l'école ou à l'hôpital »

Déclaration d'impact de Transport for London, lue au tribunal

◆ Un adolescent prêt à s'en prendre à des patients sous respirateur C'est peut-être l'épisode le plus glaçant de toute l'affaire. Quelques jours à peine après l'attaque contre TfL, le 6 septembre 2024, Owen Flowers est arrêté une première fois, son ordinateur portable encore connecté à une attaque en cours, cette fois contre deux prestataires de santé américains, SSM Health Care Corporation et Sutter Health. Dans ses échanges avec d'autres membres du groupe, il évoque la possibilité de verrouiller leurs systèmes informatiques, tout en reconnaissant lui-même qu'un tel geste risquerait de tuer une personne âgée de 90 ans sous assistance respiratoire dans l'un de ces établissements.

« Il a reconnu lui-même que ce geste risquerait de tuer une personne âgée sous assistance respiratoire »

L'enquête établira que Flowers était bien relié au serveur distant utilisé pour lancer les attaques contre TfL, SSM et Sutter Health, mais que son intrusion dans les systèmes hospitaliers a pu être stoppée avant qu'il ne mette sa menace à exécution. Devant le tribunal, son avocat, Adam Davis KC, a tenté de replacer ces actes dans le contexte de son âge au moment des faits : Flowers n'avait que 17 ans lorsqu'il a participé à l'attaque contre TfL, décrit par sa défense comme un adolescent immature cherchant à impressionner en ligne plutôt qu'un cybercriminel endurci.

◆ Scattered Spider, la nébuleuse derrière plusieurs grandes attaques Jubair et Flowers ne sont pas des acteurs isolés. Tous deux appartenaient au collectif en ligne connu sous le nom de Scattered Spider, une nébuleuse de cybercriminels majoritairement anglophones déjà associée à plusieurs attaques retentissantes survenues au Royaume-Uni, notamment contre les enseignes Marks & Spencer, Co-op et le constructeur automobile Jaguar Land Rover. Jubair, de son côté, avait déjà été condamné l'an dernier pour vingt-deux autres infractions distinctes, incluant des piratages visant des particuliers, des opérateurs télécoms et jusqu'au système informatique de la police de la City de Londres elle-même.

« Le profil de ces deux hommes illustre la menace croissante posée par des cybercriminels basés au Royaume-Uni et dans d'autres pays anglophones »

Cette dimension collective inquiète tout particulièrement les autorités américaines, impliquées dans l'enquête aux côtés de leurs homologues britanniques en raison des cibles américaines visées par Flowers. Le FBI a salué publiquement le travail de la National Crime Agency, tout en rappelant que ce type de collectif continuait de représenter une menace active pour les infrastructures critiques des deux côtés de l'Atlantique.

Scattered Spider n'a rien d'une structure hiérarchisée au sens classique du terme : il s'agit plutôt d'une constellation mouvante de jeunes cybercriminels, souvent adolescents ou tout juste majeurs, qui se rencontrent en ligne, échangent des techniques et collaborent ponctuellement sur des opérations avant de se disperser à nouveau. Cette absence de structure fixe rend la tâche des enquêteurs particulièrement ardue, chaque arrestation ne représentant qu'une fraction d'un réseau bien plus vaste et difficile à cartographier dans son ensemble.

◆ Cinq ans et demi chacun, une première judiciaire

Sur le plan strictement juridique, cette condamnation marque une étape inédite : Jubair et Flowers sont les premiers individus à être condamnés avec succès en vertu de la section 3ZA du Computer Misuse Act britannique de 1990, la disposition la plus sévère de cette loi, réservée aux actes non autorisés qui causent, ou risquent sérieusement de causer, des dommages graves. Les deux hommes avaient initialement prévu de plaider non coupables, avant de changer d'avis le jour même où leur procès devait s'ouvrir, fin juin, à la Woolwich Crown Court.

Ce basculement de dernière minute n'a rien d'anodin pour les services d'enquête : il confirme, aux yeux des autorités britanniques, la solidité du dossier patiemment constitué contre les deux hommes, jusqu'à leur ôter tout espoir raisonnable d'obtenir une relaxe devant un jury. La National Crime Agency a d'ailleurs insisté sur le caractère particulièrement minutieux de cette enquête, menée sur près de deux années avant d'aboutir à des preuves jugées suffisamment solides pour convaincre les deux prévenus de renoncer à contester les faits.

Pour la Crown Prosecution Service, cette affaire dépasse le seul cadre du préjudice financier subi par Transport for London.

« Une négligence stupéfiante face aux conséquences de leurs actes »

Lionel Idan, procureur en chef de la division spécialisée de la Crown Prosecution Service Le directeur adjoint de l'unité nationale de lutte contre la cybercriminalité de la National Crime Agency n'a pas non plus mâché ses mots au moment de commenter l'issue de cette enquête menée sur près de deux années.

« La plus grande affaire de cybercriminalité jamais portée devant la justice britannique »

Paul Foster, directeur adjoint de la National Crime Agency

◆ Ce que cette nuit-là a vraiment coûté

Au-delà des chiffres, cette affaire raconte quelque chose de plus large sur la nature du risque numérique qui pèse aujourd'hui sur les infrastructures les plus banales du quotidien. Un réseau de métro, des cartes de transport pour enfants, un simple appel à un service d'assistance informatique : il n'aura fallu que ces ingrédients ordinaires, entre les mains de deux jeunes hommes déterminés, pour mettre à genoux l'une des plus grandes autorités de transport public d'Europe pendant plusieurs semaines, et pour frôler, à des milliers de kilomètres de là, une tragédie autrement plus grave dans un hôpital américain.

Reste que cette double condamnation, aussi sévère soit-elle au regard du droit britannique actuel, ne referme qu'un seul dossier parmi ceux que la nébuleuse Scattered Spider continue d'ouvrir ailleurs, dans d'autres pays, contre d'autres cibles, avec les mêmes méthodes éprouvées cette nuit-là contre Transport for London