Condamnation record pour deux jeunes hackers après une cyberattaque massive
La justice britannique vient de prononcer une condamnation historique dans une affaire de cybercriminalité d’une ampleur exceptionnelle. Deux jeunes pirates informatiques ont écopé de lourdes peines de prison pour avoir orchestré l’une des cyberattaques les plus graves jamais enregistrées au Royaume-Uni, ciblant le réseau de transports de la capitale britannique et compromettant les données personnelles de millions d’usagers.
Une condamnation exemplaire pour une intrusion massive
Thalha Jubair, âgé de 20 ans, et Owen Flowers, 18 ans, ont été condamnés à cinq ans et six mois de prison ferme chacun. Les deux prévenus avaient reconnu leur culpabilité le mois précédent devant la Woolwich Crown Court.
Le juge Mark Turner n’a pas mâché ses mots lors du prononcé du verdict. Il a qualifié les faits de particulièrement graves et dénoncé une intrusion « principalement motivée par une fanfaronnade égoïste ».
Sept millions de clients exposés lors d’un marathon de piratage
L’attaque informatique s’est déroulée entre le 31 août et le 3 septembre 2024, avant d’être détectée le 1er septembre. Les hackers ont réussi à accéder aux noms, coordonnées et informations personnelles d’environ sept millions de clients de Transport for London (TfL).
La méthode d’intrusion révèle une préparation minutieuse. Les pirates ont obtenu des identifiants d’un employé de TfL sur « russianmarket », un site du dark web spécialisé dans la vente de données volées.
Après avoir convaincu le service d’assistance de réinitialiser le mot de passe, ils ont travaillé 16 heures d’affilée pour pénétrer le système informatique. Une fois à l’intérieur, ils ont fouillé le réseau à la recherche des historiques de déplacements de célébrités et tenté d’accéder aux informations de paiement des clients.
Des dégâts chiffrés à plusieurs dizaines de millions
Le préjudice financier s’avère considérable. Selon TfL, les pertes s’élèvent à 39 millions de livres, réparties entre 29 millions en dommages directs et 10 millions en pertes de revenus.
Le juge a retenu le montant de 25 millions de livres, soit 29 millions d’euros, accompagné de trois mois de perturbations des services en ligne de l’opérateur de transports. Environ 27 000 employés ont dû réinitialiser leurs mots de passe suite à cette intrusion. Heureusement, les transports eux-mêmes n’ont pas été affectés.
Un contrôle total sur le réseau informatique
Le procureur Mark Fenhalls a souligné que les hackers détenaient en pratique « les clés du royaume », ce qui leur donnait « le contrôle sur l’ensemble du réseau ».
L’accusation a estimé que les deux hommes « auraient pu paralyser complètement TfL » étant donné le niveau de contrôle exercé. Elle les a décrits comme « expérimentés et talentueux » et connus de la police depuis des années.
Le collectif Scattered Spider dans le viseur des autorités
Les deux Britanniques sont rattachés au collectif en ligne « Scattered Spider », soupçonné d’avoir orchestré des cyberattaques contre Marks & Spencer et Co-op.
Paul Foster, responsable de la lutte contre la cybercriminalité à la National Crime Agency (NCA), a qualifié cette affaire de « la plus grande poursuite pénale visant des cyberdélinquants de l’histoire du Royaume-Uni ».
Selon lui, Scattered Spider est « responsable de certaines des cyberattaques les plus graves » du Royaume-Uni et « du monde entier ». Le collectif a été « considérablement perturbé et affaibli » à la suite de cette enquête menée par la NCA, qui a procédé aux arrestations en septembre 2025.
Des profils de cybercriminels précoces
Owen Flowers menait encore des attaques lors de la perquisition à son domicile en septembre 2024. Il a également plaidé coupable pour avoir conspiré avec d’autres individus afin de pirater deux entreprises américaines : Sutter Health et SSM Healthcare Corporation.
Un parcours criminel commencé dans l’enfance
Le cas de Thalha Jubair illustre une dérive progressive vers la criminalité numérique. Mineur, il avait déjà été condamné pour une cyberattaque visant le fabricant de puces américain Nvidia. Il avait également reconnu avoir piraté la police de la City de Londres.
Le juge Turner a observé que l’attaque contre TfL démontrait que Jubair était passé du statut de victime exploitée à celui d’auteur à part entière. Son apprentissage de la programmation dès l’âge de 10 ans a attiré l’attention de cybercriminels plus âgés lorsqu’il avait 14 ans.
Son avocat, Paul Keleher, a expliqué que son client avait été manipulé et exploité par des criminels en ligne, soulignant la dimension de vulnérabilité dans ce parcours criminel précoce.
