ANALYSES
Transport for London : ce qu'une attaque sans arrêt des trains apprend aux porteurs de risque cyber
Entre le 31 août et le 3 septembre 2024, Scattered Spider est entré dans le réseau de Transport for London : 148 systèmes à l'arrêt, 27 000 mots de passe réinitialisés en personne, 29 millions de livres de coûts. L'analyse : identité, services publics, données, cumul et questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois de septembre 2024 · par cybercoverinsurance
Entre le 31 août et le 3 septembre 2024, deux jeunes membres du groupe Scattered Spider sont entrés dans le réseau de Transport for London (TfL), l'organisme qui gère les transports publics de la capitale britannique. Le métro et les bus ont continué à circuler. Mais 148 systèmes internes sont devenus inutilisables, 27 000 salariés ont dû se présenter en personne pour réinitialiser leur mot de passe et certains services aux usagers sont restés à l'arrêt pendant des mois. TfL a chiffré ses pertes et ses coûts de remise en état à 29 millions de livres.
Le cas est utile à qui porte le risque cyber pour trois raisons. Il montre ce que coûte la reconstruction de l'identité numérique de toute une organisation. Il montre à quel point la première estimation des données dérobées peut s'éloigner de la dernière. Et il montre l'écart entre le dommage subi et le dommage évité de peu : selon l'accusation, un blocage du réseau de transport aurait pu coûter jusqu'à 56 milliards de livres à l'économie britannique.
Ce que l'on sait
L'attaque. Selon la National Crime Agency (NCA), le réseau de TfL a été compromis entre le 31 août et le 3 septembre 2024. Les auteurs sont Thalha Jubair, de Londres, et Owen Flowers, de Walsall, présentés comme des membres de premier plan de Scattered Spider (NCA). Flowers a été arrêté une première fois le 6 septembre 2024. Selon le parquet britannique, il attaquait à la même période deux groupes de santé américains, SSM Health et Sutter Health (CPS).
Les dommages opérationnels. La NCA fait état de 148 systèmes rendus inutilisables, plusieurs remplacés pendant des semaines par des procédures manuelles. Ont été touchés le service Dial-a-Ride pour les personnes handicapées, les titres de transport à tarif réduit, le canal de paiement numérique et l'extension prévue du paiement sans contact. Le système de remboursement Oyster a été compromis et celui des demandes de cartes avec photo pour les jeunes a été fermé. Pour contenir l'attaque, TfL a dû couper une partie de son propre réseau (CPS).
Les données. Au départ, TfL a évoqué les données bancaires d'environ 5 000 clients liées aux remboursements Oyster (The Register). En mars 2026, une enquête de la BBC a estimé à environ 10 millions le nombre de personnes dont les noms, adresses et coordonnées ont été dérobés. TfL a adressé des notifications à environ 7,1 millions de clients. Selon la même source, l'Information Commissioner's Office a clos le dossier en février 2025 sans mesure formelle (Tech Digest).
Le procès. Jubair et Flowers ont été de nouveau arrêtés le 16 septembre 2025, ont plaidé coupable le 22 juin 2026 et ont été condamnés le 16 juillet 2026 à cinq ans et six mois de prison chacun. La NCA y voit la plus grande affaire de cybercriminalité jamais portée devant un tribunal britannique. La perte de 29 millions de livres est le chiffre indiqué par TfL. Certains articles citent 39 millions, sans source primaire. La NCA n'a pas publié la ventilation des coûts.
Ce que l'on ne sait pas. Ni la NCA ni le parquet n'ont indiqué comment les attaquants sont entrés. Le groupe est connu pour l'ingénierie sociale visant les services d'assistance, mais pour TfL ce lien ne figure pas dans les éléments publics.
L'identité comme coût de remise en état
Réinitialiser 27 000 mots de passe en personne est un poste de dommage, pas un détail. Lorsqu'un attaquant a eu accès aux systèmes d'authentification, la remise en état impose de vérifier à nouveau l'identité de chaque utilisateur. TfL l'a fait en convoquant tous ses salariés dans un bureau. C'est du temps de travail perdu, des coûts logistiques et des services ralentis, pendant des semaines.
Les polices couvrent la remise en état, mais les définitions comptent. Les garanties de restauration des données et des systèmes couvrent en général les coûts de retour à l'état antérieur à l'attaque. Le temps du personnel interne et les procédures manuelles ne sont souvent couverts qu'au titre des frais supplémentaires, dans des sous-limites. Pour une organisation de plusieurs dizaines de milliers de salariés, la reconstruction de l'identité peut coûter autant que l'investigation numérique.
Les améliorations ne sont pas une remise en état. Un organisme qui adopte après l'attaque une authentification plus robuste supporte un coût que beaucoup de polices excluent au titre de l'amélioration. La frontière entre remise en état et amélioration doit être claire avant le sinistre.
Un organisme public ne perd pas de chiffre d'affaires, il perd des services
La perte d'exploitation classique mesure mal. TfL a continué à faire rouler trains et bus. Le dommage était ailleurs : remboursements retardés, cartes non émises, services sociaux bloqués, projet d'extension du sans contact reporté. Une garantie calculée sur la marge perdue capte mal ce type de dommage.
Les frais supplémentaires sont le poste qui compte. Pour les organismes publics et les associations, la protection utile porte sur les coûts additionnels nécessaires pour maintenir les services : personnel supplémentaire, procédures manuelles, communication avec les usagers. Les questions de souscription devraient porter sur les services critiques qui peuvent continuer à la main, pendant combien de temps et à quel coût.
Le report des projets n'est presque jamais couvert. Le retard pris sur le sans contact est un coût réel pour TfL, mais il entre rarement dans une garantie d'interruption. Ce dommage reste à la charge de l'assuré.
Données : la première estimation n'est pas la dernière
De 5 000 à 10 millions. En septembre 2024, le chiffre public était d'environ 5 000 clients avec des données bancaires. Dix-huit mois plus tard, l'estimation de la presse portait sur environ 10 millions de personnes avec des données d'identité et de contact. Les deux chiffres ne mesurent pas la même chose, mais le signal est clair pour qui porte le risque : la provision d'un sinistre avec vol de données ne doit pas être fixée sur le premier communiqué.
Notifier des millions de personnes a un coût mesurable. TfL a écrit à environ 7,1 millions de clients. Le coût des notifications, des services d'assistance et de la surveillance, lorsqu'elle est proposée, augmente avec le nombre de personnes, pas avec la sensibilité des données. Une organisation avec beaucoup de clients inscrits a une exposition élevée même lorsque les données ne sont que des données d'identité.
Le régulateur ne sanctionne pas toujours. La clôture du dossier par l'ICO sans mesure formelle, selon Tech Digest, réduit le risque de sanction. Elle ne réduit pas le risque d'actions des clients, qui restent possibles au Royaume-Uni.
Le dommage évité et le cumul
56 milliards de livres sont un scénario, pas un sinistre. La NCA reprend l'estimation selon laquelle un blocage du réseau de transport aurait pu coûter jusqu'à 56 milliards de livres à l'économie britannique. Dans les échanges entre les deux, cités par l'accusation, il était question d'« anéantir l'accès » aux systèmes de TfL (CPS). L'attaque n'est pas allée jusque-là. Mais le cas montre à quel point un événement systémique peut être proche d'une intrusion criminelle ordinaire.
Le cumul passe par les assurés qui dépendent de l'organisme. Un arrêt prolongé des transports d'une capitale toucherait des milliers d'entreprises sans qu'aucune n'ait été compromise. Les garanties de carence de fournisseur couvrent généralement des prestataires informatiques désignés, pas des services publics. Dans ce domaine, le dommage économique réel et le dommage assuré divergent fortement.
Un même groupe, de nombreux secteurs. Pendant qu'il attaquait TfL, Flowers travaillait contre deux groupes de santé américains (CPS). Les mêmes acteurs, avec les mêmes techniques, frappent des secteurs différents en quelques jours. Pour un portefeuille, le cumul ne passe pas seulement par les fournisseurs communs, mais aussi par les attaquants communs.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursÉlevé
Une organisation avec des millions de clients inscrits et des dizaines de milliers de salariés additionne coûts de remise en état, notifications et services manuels, même sans perte de chiffre d'affaires.
Côté portefeuille, les grands organismes publics et les entreprises de services sont des nœuds dont dépendent de nombreux autres assurés. Une cartographie de ces dépendances, même seulement par secteur et par zone géographique, aide à estimer le scénario de sinistre décrit par la NCA et qui ne s'est pas produit en 2024.