ANALYSES
Trois arrondissements de Londres, une seule attaque : le risque des services partagés
Le 24 novembre 2025, une attaque contre les systèmes informatiques partagés de Kensington and Chelsea, Westminster et Hammersmith and Fulham a entraîné un vol de données et des services encore à l'arrêt huit mois plus tard. L'analyse : une infrastructure pour plusieurs assurés, le secteur public comme risque à longue traîne et questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois de novembre 2025 · par cybercoverinsurance
Le 24 novembre 2025, une cyberattaque a touché les systèmes informatiques partagés de trois arrondissements de Londres : Kensington and Chelsea, Westminster et Hammersmith and Fulham. Lignes téléphoniques, sites et services en ligne sont tombés en panne, les collectivités ont activé leurs plans d'urgence et, le 1er décembre, Kensington and Chelsea a confirmé un vol de données. Certains services aux habitants étaient encore à l'arrêt en juillet 2026.
Pour qui porte le risque cyber, le cas porte sur les services partagés : une infrastructure commune, choisie pour faire des économies, qui lie plusieurs entités au même incident. Le thème vaut pour le secteur public, mais aussi pour les groupes, les consortiums et les réseaux d'entreprises qui partagent des systèmes.
Ce que l'on sait
L'attaque. Kensington and Chelsea et Westminster partagent des services informatiques dans le cadre d'accords communs, et Hammersmith and Fulham utilise les mêmes services. Le 24 novembre, la Metropolitan Police a reçu un signalement d'attaque présumée. Les collectivités ont activé leurs plans de continuité et d'urgence, en donnant la priorité aux habitants les plus vulnérables. Le National Cyber Security Centre a soutenu l'isolement et la restauration des systèmes (The Register).
Les données. Le 1er décembre, Kensington and Chelsea a déclaré disposer de preuves que certaines données avaient été dérobées, qu'elle estimait historiques, et a averti qu'elles pourraient être rendues publiques. Elle a conseillé aux personnes ayant acheté des services comme des permis de stationnement de surveiller leurs cartes et comptes. Westminster a indiqué que la restauration complète prendrait plusieurs semaines. Hammersmith and Fulham a isolé son réseau et déclaré n'avoir aucune preuve de compromission de ses propres systèmes. La National Crime Agency et l'autorité de protection des données sont intervenues (Fitzrovia News).
L'audit. Dans son rapport annuel publié en octobre 2026, l'auditeur Grant Thornton a identifié comme cause un hameçonnage réussi et relevé des faiblesses de gouvernance importantes. Certains services aux habitants étaient encore hors service en juillet 2026. La déconnexion des systèmes a créé des retards et réduit les recettes provenant des paiements des habitants. L'auditeur a recommandé un plan de modernisation des systèmes chiffré et hiérarchisé, un poids égal pour la prévention et la réponse, et davantage de formation contre l'hameçonnage (Local Government Lawyer).
Ce que l'on ne sait pas. Le coût de l'attaque, l'existence éventuelle d'une couverture d'assurance et le nombre d'habitants dont les données ont été dérobées n'ont pas été rendus publics. L'auteur n'a pas été identifié publiquement.
Une infrastructure, trois assurés
L'économie crée la dépendance. Les services partagés réduisent les coûts informatiques des collectivités. Mais un incident sur une infrastructure commune touche toutes les entités qui l'utilisent. Pour qui porte le risque, trois collectivités qui partagent leur informatique ne sont pas trois risques indépendants.
S'isoler vite réduit le sinistre. Hammersmith and Fulham a isolé son réseau et n'a trouvé aucune preuve de compromission de ses propres systèmes (Fitzrovia News). La capacité à se couper rapidement d'une infrastructure partagée est le contrôle qui distingue une entité touchée d'une entité arrêtée par précaution.
Qui est l'assuré quand les systèmes appartiennent à tous ? Avec un service partagé, la question de savoir qui exploite les systèmes, qui en répond et quelle police paie n'a pas de réponse évidente. Les accords entre entités devraient la trancher avant l'incident, pas après.
Le secteur public comme risque à longue traîne
Huit mois pour revenir à la normale. Certains services étaient encore hors service en juillet 2026 (Local Government Lawyer). Pour une collectivité locale, le sinistre n'est pas seulement le coût technique, mais aussi les retards, les services de substitution et les recettes perdues. La période d'indemnisation habituelle d'une police peut être plus courte que la reprise réelle.
Vieux systèmes, reprise lente. L'auditeur a lié la durée de la reprise à la nécessité de renforcer les systèmes informatiques de la collectivité (Local Government Lawyer). Pour qui porte le risque, l'obsolescence des systèmes est un indicateur de la durée du sinistre, et pas seulement de sa probabilité.
L'hameçonnage reste la porte d'entrée. La cause indiquée est un hameçonnage réussi. Les recommandations de l'auditeur portent sur la formation. Pour le questionnaire, la donnée utile n'est pas l'existence d'une formation, mais sa fréquence, le nombre de personnes qui la suivent et la présence de simulations.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursMoyen
Un hameçonnage réussi sur une infrastructure informatique partagée a touché trois arrondissements de Londres, avec un vol de données et des services encore à l'arrêt huit mois plus tard.
Côté portefeuille, le cas invite à traiter les entités qui partagent des services informatiques comme un risque unique pour le cumul. Il en va de même pour les groupes et les réseaux d'entreprises dotés de systèmes communs : le nombre d'assurés ne dit pas combien d'infrastructures distinctes il existe réellement.