Piratage de l'aide juridictionnelle britannique : 250 000 dossiers volés datent d'avant 2007

1978. C'est l'année du plus ancien dossier retrouvé, à ce jour, dans les données volées à la Legal Aid Agency (LAA), l'agence du ministère britannique de la Justice qui finance l'aide juridictionnelle en Angleterre et au pays de Galles. Quarante-huit ans plus tard, ce document fait partie du butin d'une cyberattaque.

L'agence a publié le 14 octobre une mise à jour de son analyse. Environ 250 000 enregistrements volés sont antérieurs à 2007, en grande majorité des années 1990 et 2000, et quelques-uns d'avant 1990. L'enquête révèle aussi que des données du service de probation (HMPPS) faisaient partie du lot.

Une attaque vieille de dix-huit mois

L'intrusion a été détectée le 23 avril 2025. Début mai, l'agence évoquait d'abord les informations de paiement des avocats et cabinets qui travaillent pour elle. Le 16 mai 2025, elle reconnaissait un vol bien plus grave, concernant des personnes ayant demandé l'aide juridictionnelle. L'agence évoquait alors les demandes déposées depuis 2010.

Le bilan d'octobre est plus large. Selon l'agence, la plupart des données concernent des demandes, des factures ou des paiements entre janvier 2007 et le 16 mai 2025. Mais certains fichiers remontent plus loin : bénéficiaires de l'aide civile ou de la médiation depuis 2000, données liées à des prestations sociales de 1978 à 2012, avec nom, date de naissance, numéro de sécurité sociale et adresse.

Ce que contiennent les fichiers

Les catégories détaillées par l'agence sont sensibles : pour certaines affaires pénales jugées en Cour de la Couronne entre 2010 et 2025, nom, adresse, date de naissance, infractions reprochées, plaidoyer, verdict et peine. S'y ajoutent les coordonnées bancaires des prestataires juridiques, des noms de juges et d'avocats, et parfois ceux des parties adverses dans des litiges civils.

Côté probation, il s'agit des noms, dates de naissance, nationalités et numéros de dossier d'un nombre de personnes que l'agence dit relativement restreint, suivies entre 2010 et 2017, à plus de 99 % en 2016 et 2017. L'agence précise qu'aucune de ces données ne concerne des victimes d'infractions.

Bonne nouvelle relative : « We have no indication that the stolen data has been published or shared », écrit la LAA. Rien n'indique pour l'instant que les données aient été publiées ou partagées. Ni l'agence ni BleepingComputer ne mentionnent de revendication. Un porte-parole du ministère de la Justice, cité par BleepingComputer, rappelle que 20 millions de livres avaient été engagés pour moderniser les systèmes de l'agence avant l'attaque. Plus de 200 millions sont désormais consacrés à la modernisation et à la cybersécurité de l'aide juridique.

La leçon : ce qu'on ne garde pas ne peut pas fuir

Les données de 1978 ne posaient aucun problème tant qu'elles dormaient sur un serveur. Lors de l'intrusion, elles ont été emportées avec le reste. Le RGPD, comme sa version britannique, impose de ne conserver les données personnelles que le temps nécessaire. Pour une organisation française, le réflexe est le même : vérifier ce que contiennent les vieilles bases et les archives encore branchées au réseau, et supprimer ou isoler ce qui n'a plus d'usage.

Pour les personnes concernées, l'agence conseille de se méfier des appels, e-mails et messages inattendus, de vérifier l'identité de quiconque demande des informations sensibles et d'utiliser des mots de passe uniques. Elle précise qu'avoir demandé l'aide juridictionnelle ne signifie pas automatiquement que ses données ont fuité.

L'agence dit avoir informé l'autorité britannique de protection des données. Son analyse se poursuit : l'année 1978 pourrait ne pas être la dernière surprise.