Royaume-Uni: prison ferme contre deux hackers pour une cyberattaque visant les transports londoniens

Deux jeunes hackers ont été condamnés jeudi à cinq ans et six mois de prison ferme chacun par la justice britannique pour avoir attaqué les systèmes informatiques des transports londoniens, provoquant la fuite de données de millions de clients.

Thalha Jubair, 20 ans, et Owen Flowers, 18 ans, avaient plaidé coupable le mois dernier, reconnaissant avoir piraté il y a près de deux ans le réseau de Transport for London (TfL), accédant aux noms, coordonnées et informations personnelles d’environ sept millions de clients, ce qui constitue l’une des plus vastes violations de données du pays.

« Les perturbations effectivement causées (…) ont été extrêmement graves », a déclaré le juge de la Woolwich Crown Court de Londres, Mark Turner, dénonçant une attaque « principalement motivée par une fanfaronnade égoïste ».

L’accusation a estimé lors de l’audience sur la peine que les deux hommes « auraient pu paralyser complètement TfL » étant donné le niveau de contrôle qu’ils ont exercé sur le système pendant l’attaque, entre le 31 août et le 3 septembre 2024.

Découverte le 1er septembre, celle-ci n’a pas affecté les transports mais a provoqué trois mois de perturbations des services en ligne de TfL, entraînant 25 millions de livres (29 millions d’euros) de pertes, selon une estimation révisée.

Les deux Britanniques sont liés au collectif criminel en ligne « Scattered Spider », que l’on soupçonne d’être à l’origine d’une série de cyberattaques très médiatisées, notamment contre les enseignes britanniques Marks & Spencer et Co-op.

Arrêtés en septembre 2025 à la suite d’une enquête de la National Crime Agency, ils sont décrits par l’accusation comme des hackers « expérimentés et talentueux » connus des services de police depuis des années.

Thalha Jubair avait déjà été condamné, mineur, pour une cyberattaque visant le fabricant de puces américain Nvidia et avait reconnu avoir piraté la police de la City de Londres.

Owen Flowers a également plaidé coupable pour s’être entendu avec d’autres individus afin de pirater deux entreprises basées aux Etats-Unis, Sutter Health et SSM Healthcare Corporation.