TfL hack : Scattered Spider condamné à 5,5 ans de prison

Cinq ans et demi de prison pour les auteurs du hack TfL

Le 16 juillet 2026, le tribunal de la Woolwich Crown Court de Londres a prononcé une peine de 5 ans et 6 mois d'emprisonnement à l'encontre d'Owen Flowers, 18 ans, et Thalha Jubair, 20 ans, pour leur rôle dans l'attaque informatique qui avait dévasté le système d'information de Transport for London (TfL) en septembre 2024. Les deux prévenus, tous deux citoyens britanniques, ont plaidé coupable le 22 juin 2026 — le jour même prévu pour le début de leur procès devant jury — reconnaissant ainsi explicitement leur responsabilité dans l'une des cyberattaques les plus impactantes jamais conduite contre une infrastructure de transport public britannique.

L'attaque s'est déroulée entre le 31 août et le 3 septembre 2024. En quelques jours, Flowers et Jubair ont compromis les systèmes informatiques centraux de TfL, l'organisme qui gère l'ensemble des transports publics de la capitale britannique — métro, bus, Docklands Light Railway, overground et tramways londoniens. L'intrusion a rendu 148 systèmes TfL inopérants, perturbant des services utilisés quotidiennement par des millions de voyageurs. Les remboursements via les cartes Oyster ont été temporairement suspendus, et les API utilisées par les applications tierces de navigation en temps réel ont été coupées pendant plusieurs semaines après l'incident.

L'ampleur de l'impact humain sur les équipes internes de TfL constitue l'un des aspects les plus frappants de cette affaire. Les 27 000 employés de Transport for London ont dû se rendre physiquement dans les bureaux de leur employeur pour réinitialiser leurs mots de passe en personne, faute de pouvoir garantir l'intégrité des systèmes d'authentification à distance. Cette procédure d'urgence, qui a représenté une opération logistique colossale mobilisant pendant des semaines des centaines d'agents des ressources humaines et de la sécurité informatique, illustre concrètement le niveau de dommage systémique causé par l'attaque. TfL a chiffré l'ensemble des pertes et coûts de remédiation à £29 millions, montant confirmé à la fois par la National Crime Agency (NCA) et par le Crown Prosecution Service (CPS).

Les deux prévenus ont été poursuivis sur la base de la Section 3ZA du Computer Misuse Act 1990, la disposition la plus sévère du texte législatif britannique en matière de cybercriminalité. Cette section, introduite par l'amendement de 2015, vise spécifiquement les attaques informatiques causant ou créant un risque sérieux de dommage à la société ou à des individus, et permet des peines allant jusqu'à 10 ans d'emprisonnement. Le CPS a indiqué que les plaidoyers de culpabilité avaient été acceptés sur la base du fait que les deux accusés avaient agi avec imprudence (recklessness) quant au risque de causer des dommages graves à l'intérêt public — formulation qui évite de prouver une intention délibérée mais permet l'application des peines les plus lourdes.

La charge retenue contre Owen Flowers a été aggravée par deux chefs d'accusation supplémentaires liés à des attaques visant des établissements de santé américains. Il a admis une conspiration contre SSM Health, un réseau hospitalier américain, et une tentative d'attaque contre Sutter Health, un système de santé californien. Les conversations Telegram récupérées lors de l'investigation montrent que Flowers, évoquant avec un complice le blocage des systèmes de ces hôpitaux, avait lui-même reconnu que cela pourrait tuer un nonagénaire sous assistance respiratoire — une formulation qui témoigne d'une conscience aiguë des conséquences potentielles de ses actes sur des vies humaines, sans que cela ne l'ait dissuadé de poursuivre.

Les preuves numériques rassemblées par les enquêteurs ont été particulièrement accablantes dans leur précision. L'ordinateur portable saisi chez Flowers contenait une capture d'écran de connexions réseau actives vers l'infrastructure informatique de TfL, ainsi que des vidéos que Flowers avait enregistrées de Jubair naviguant en temps réel dans les systèmes de TfL pendant l'attaque. Les deux complices communiquaient activement par Telegram tout au long de l'intrusion et partageaient leurs accès via un espace de travail en ligne commun. Cette traçabilité numérique détaillée — les attaquants filmant et documentant eux-mêmes leurs activités — a grandement simplifié le travail du CPS pour établir la culpabilité et la complicité.

L'enquête a été conduite par la National Crime Agency en collaboration avec les équipes cybercriminalité de la Metropolitan Police, avec une coordination étroite avec les autorités américaines du FBI pour les chefs d'accusation liés aux établissements de santé. L'appartenance des deux condamnés au groupe Scattered Spider — connu également sous les désignations Octo Tempest, UNC3944 ou Muddled Libra dans les taxonomies des éditeurs de cybersécurité — a été un facteur déterminant dans l'orientation des investigations transatlantiques.

Scattered Spider est un collectif cybercriminel anglophone composé majoritairement de jeunes hommes britanniques et américains, actif depuis au moins 2022. Le groupe est particulièrement connu pour ses techniques d'ingénierie sociale sophistiquées : SIM swapping, vishing (phishing vocal ciblant les équipes de support IT), et usurpation d'identité d'employés pour contourner les mécanismes d'authentification multifacteur. Ce profil atypique — des cybercriminels natifs anglophones ciblant des entreprises anglophones dont ils maîtrisent parfaitement les processus internes — a rendu le groupe particulièrement efficace contre des cibles de premier plan comme MGM Resorts, Caesars Entertainment, Twilio et désormais une infrastructure publique d'envergure nationale.

Une jurisprudence qui marque un tournant pour la cybercriminalité

Les peines de 5,5 ans prononcées à l'encontre de Flowers et Jubair représentent un signal fort et délibéré des autorités judiciaires britanniques. Pour contextualiser : jusqu'à ces dernières années, les condamnations effectives à des peines d'emprisonnement ferme pour de jeunes cybercriminels britanniques — même impliqués dans des attaques de grande envergure — restaient rares, et les peines prononcées dépassaient rarement 3 ans. La décision de la Woolwich Crown Court marque une rupture consciente avec cette tendance, en choisissant d'appliquer une Section 3ZA rarement utilisée dans toute sa sévérité. L'objectif affiché par le CPS est dissuasif : montrer que les cyberattaques contre les infrastructures critiques seront traitées avec la même sévérité que leurs équivalents physiques.

Cette condamnation intervient dans un contexte où les poursuites judiciaires contre les membres de Scattered Spider s'accélèrent de manière coordonnée des deux côtés de l'Atlantique. Aux États-Unis, plusieurs membres présumés du groupe font face à des poursuites fédérales pour leur implication dans les attaques contre MGM Resorts — estimées à 100 millions de dollars de pertes opérationnelles — et dans diverses opérations de vol de cryptomonnaies. Le dossier américain, instruit par le FBI, a conclu à des ransoms totalisant 115 millions de dollars collectés par le groupe sur l'ensemble de ses opérations documentées. La coordination transatlantique des poursuites illustre une évolution dans la capacité des autorités à cibler des collectifs cybercriminels dispersés géographiquement sans hiérarchie formelle.

Pour les opérateurs d'infrastructures critiques et de services publics, l'affaire TfL est riche d'enseignements opérationnels. L'attaque a exploité les processus humains autant que les failles techniques : les techniques d'ingénierie sociale de Scattered Spider — notamment la manipulation des équipes de support IT par usurpation d'identité — exploitent des vulnérabilités organisationnelles que les outils techniques seuls ne comblent pas. La résilience opérationnelle, c'est-à-dire la capacité d'une organisation à continuer à fonctionner, à communiquer et à récupérer pendant une crise cyber majeure, est désormais un critère d'évaluation central des audits NIS2 pour les opérateurs de services essentiels (OSE) en Europe et un attendu explicite des régulateurs sectoriels britanniques du NCSC.

La dimension humaine de cette affaire mérite enfin attention. Owen Flowers avait 16 ans au moment des faits ; Thalha Jubair, 18 ans. Si cela ne diminue en rien la gravité de leurs actes — notamment les aveux de conscience des risques pour des patients hospitalisés — cela alimente un débat croissant sur la prévention et le recrutement dans les milieux de la cybercriminalité juvénile. Le profil de ces jeunes délinquants — compétences techniques réelles, mais canalisées vers la criminalité faute d'encadrement — pousse plusieurs gouvernements à développer des programmes de reconversion cyber, cherchant à transformer des talents hackeurs en professionnels de la cybersécurité défensive.

Ce qu'il faut retenir

• La condamnation à 5,5 ans de Flowers et Jubair est l'une des plus sévères prononcées pour cybercriminalité au Royaume-Uni, sous la Section 3ZA du Computer Misuse Act 1990 — un signal fort de la justice britannique sur les attaques contre les infrastructures critiques.
• L'attaque TfL de 2024 a coûté £29 millions, paralysé 148 systèmes et forcé 27 000 employés à réinitialiser leurs mots de passe en personne — illustration concrète de l'impact opérationnel d'une cyberattaque sur un service public essentiel.
• Scattered Spider reste actif : renforcer les procédures de vérification d'identité des équipes de support IT, former les agents aux techniques de vishing et de SIM swapping, et tester régulièrement la résistance humaine aux attaques d'ingénierie sociale.