Legal Aid Agency : des données volées remontant à 1978
La Legal Aid Agency (LAA) britannique a confirmé que les données dérobées lors de la cyberattaque de l'an dernier remontent bien plus loin qu'annoncé au départ. Certains dossiers datent de 1978.
La LAA est une agence exécutive du ministère de la Justice qui gère le Public Defender Service du pays. Elle finance l'aide juridique des personnes qui n'ont pas les moyens de payer un avocat. Des attaquants ont pénétré ses systèmes informatiques en avril 2025, et l'agence cherche encore à mesurer toute l'ampleur de ce qui a été volé.
Une fuite qui ne cesse de s'étendre
L'agence compte environ 1 250 employés et gère des milliards de livres de financement juridique. Elle travaille avec quelque 2 000 prestataires, dont des barristers, des cabinets de solicitors et des associations à but non lucratif qui assurent l'aide juridictionnelle civile et pénale en Angleterre et au pays de Galles.
La LAA a révélé l'attaque pour la première fois début mai 2025. Elle avertissait alors que les informations de paiement des prestataires de l'aide juridictionnelle avaient pu être exposées.
Deux semaines plus tard, la situation avait changé. L'agence a découvert que les attaquants avaient emporté une grande quantité de données sensibles sur les demandeurs et bénéficiaires de l'aide juridictionnelle, remontant jusqu'à 2010. Parmi les informations volées :
- coordonnées et dates de naissance
- numéros d'identification nationaux
- antécédents judiciaires
- situation professionnelle
- montants des contributions, dettes et paiements
Des données sur les prestataires ont aussi été dérobées : contrats, adresses des bureaux, informations financières, coordonnées et identifiants du LAA Online Portal, dont les noms et adresses e-mail.
Environ 250 000 dossiers antérieurs à 2007
Dans une mise à jour publiée cette semaine, la LAA indique qu'une analyse plus poussée des données exfiltrées montre que les dossiers remontent à près de cinquante ans.
"La grande majorité des données de la LAA concerne des demandes, des réclamations ou des paiements soumis à la LAA entre janvier 2007 et le 16 mai 2025, ou des affaires en cours pendant cette période. Toutefois, nous avons désormais confirmé qu'environ 250 000 dossiers sont antérieurs à 2007", a déclaré l'agence.
"L'écrasante majorité d'entre eux datent des années 1990 et 2000, et seule une infime partie est antérieure à 1990. Le plus ancien dossier vérifié à ce jour date de 1978."
L'agence précise que la présence de dossiers anciens ne signifie pas que toutes les personnes ayant demandé ou reçu l'aide juridictionnelle, ou ayant eu affaire à la justice avant 2007, sont concernées.
Le ministère de la Justice met en avant de nouveaux investissements
Un porte-parole du ministère de la Justice a déclaré à BleepingComputer que le gouvernement avait publié rapidement des informations sur GOV.UK et les avait mises à jour au fur et à mesure que sa compréhension de l'attaque progressait.
"Avant la cyberattaque, nous avions déjà engagé 20 millions de livres pour stabiliser et moderniser les systèmes numériques de la Legal Aid Agency. Nous investissons désormais plus de 200 millions de livres pour moderniser les services numériques, améliorer la résilience et renforcer la cybersécurité de l'ensemble des services d'aide juridictionnelle", a indiqué le porte-parole.
"Il n'existe à ce jour aucune preuve que des données personnelles supposément exfiltrées aient été publiées."
Une vague d'incidents plus large au Royaume-Uni
La fuite de la LAA a été suivie d'une série d'attaques contre les enseignes britanniques Co-op, Harrods et Marks & Spencer (M&S), revendiquées par le groupe de ransomware DragonForce. La distribution reste une cible depuis, comme le montre la récente attaque de TFG London contre des marques de mode.
À la suite de ces incidents, le National Cyber Security Centre (NCSC), l'autorité technique britannique en matière de cybersécurité, a publié des recommandations et exhorté les organisations du pays à les suivre pour renforcer leurs défenses.
En janvier, le gouvernement britannique a également annoncé une nouvelle stratégie de cybersécurité, dotée de plus de 210 millions de livres (283 millions de dollars), afin d'améliorer les défenses des ministères et de l'ensemble du secteur public.
Le secteur public reste sous pression. Cette semaine, le Housing Ombudsman Service britannique a annoncé enquêter sur un incident de sécurité informatique chez un tiers ayant touché son système de gestion des dossiers. Ce service est un organisme public non ministériel, placé sous la tutelle du ministère du Logement, qui règle les litiges entre locataires de logements sociaux et bailleurs sociaux en Angleterre.
Pourquoi c'est important
Le détail le plus inquiétant n'est pas seulement l'ancienneté des dossiers. C'est la nature des données. Les antécédents judiciaires, les dettes et les numéros d'identification nationaux n'ont pas de date d'expiration. Une personne qui a demandé l'aide juridictionnelle dans les années 1990 peut aujourd'hui mener une vie très différente, et l'exposition de ce passé pourrait servir à de l'extorsion, de la fraude ou de l'ingénierie sociale ciblée. L'intérêt du Silent Ransom Group pour les cabinets d'avocats américains montre à quel point les criminels accordent de la valeur aux données juridiques.
L'affaire suit aussi un schéma bien connu. Le périmètre est passé des données de paiement des prestataires aux données des demandeurs depuis 2010, puis aujourd'hui à des dossiers de 1978. Des révisions successives similaires ont été observées lors d'autres incidents majeurs, comme le bilan en hausse de la fuite chez Oracle Health. Cela laisse penser que les organisations n'ont souvent une vision complète de ce qu'elles stockent qu'une fois les données volées. Conserver des décennies de dossiers sensibles dans des systèmes accessibles aggrave nettement l'impact d'une fuite.
Il faudra surveiller si les données volées apparaissent sur des sites de fuite, le ministère affirmant n'en avoir aucune preuve pour l'instant. Autre question : le plan de modernisation de 200 millions de livres prévoit-il un réexamen de la durée de conservation des données, et pas seulement une mise à niveau des systèmes ? Toute personne ayant eu recours à l'aide juridictionnelle en Angleterre et au pays de Galles doit rester vigilante face à tout contact inattendu faisant référence à son historique judiciaire.