ExfilSquad vole les données de 100 000 policiers britanniques

Les faits

Le Police National Legal Database (PNLD), ressource juridique en ligne utilisée depuis plus de 30 ans par les 43 forces de police de Home Office en Angleterre et au Pays de Galles ainsi que par la British Transport Police, a confirmé avoir été victime d'une cyberattaque ayant conduit à l'exfiltration de données sensibles. L'intrusion a été détectée le dimanche 27 juillet 2026, mais c'est le groupe de cyber-extorsion ExfilSquad qui a précipité la divulgation publique en publiant les données volées sur le dark web début août.

ExfilSquad, groupe spécialisé dans l'exfiltration de données et la double extorsion sans déploiement de ransomware, revendique avoir dérobé 135 000 enregistrements de contacts. Le PNLD a confirmé que les données compromises incluent les noms complets, les organisations d'appartenance et les adresses email de policiers, personnels administratifs, professionnels de la justice pénale et partenaires gouvernementaux. La fuite a été publiée sur des forums du dark web, rendant les données immédiatement accessibles à d'autres acteurs malveillants.

La nature des données exposées présente un risque opérationnel important. Les adresses email professionnelles des officiers de police constituent un vecteur idéal pour des campagnes de phishing ciblé (spear phishing), notamment en usurpant l'identité d'autres forces de l'ordre ou d'institutions gouvernementales pour extraire des credentials ou inciter à l'ouverture de pièces jointes malveillantes. Dans le contexte de tensions géopolitiques actuelles, ces informations pourraient également servir à des opérations d'intimidation ou à l'identification d'officiers en mission sensible.

Le PNLD a précisé plusieurs points dans sa communication de crise : la base de données ne contient pas d'informations confidentielles sur les victimes, témoins ou suspects d'affaires judiciaires ; aucune preuve que des mots de passe ou credentials de connexion ont été exfiltrés ; les systèmes opérationnels du PNLD continuent de fonctionner normalement. L'organisation a engagé des spécialistes en cybersécurité pour une investigation forensique et a notifié l'Information Commissioner's Office (ICO) conformément aux obligations du UK GDPR.

La National Crime Agency (NCA) a ouvert une enquête criminelle formelle. ExfilSquad aurait formulé une demande de rançon pour s'engager à ne pas diffuser davantage les données, mais le PNLD n'a pas communiqué sur l'existence ou l'issue de négociations. Le National Cyber Security Centre (NCSC) a également été notifié de l'incident, compte tenu de la sensibilité des personnes affectées.

ExfilSquad est un groupe de cyber-extorsion apparu dans le paysage des menaces au cours des 18 derniers mois, se spécialisant dans l'exfiltration de données sans déploiement de ransomware. Ce modèle est économiquement rationnel : il évite les risques liés au chiffrement (détection plus rapide, mobilisation immédiate des victimes et des autorités, impact opérationnel visible), tout en conservant un levier de pression fort via la menace de publication. La valeur des données pour d'autres acteurs malveillants suffit à maintenir la pression sur la victime.

Cet incident s'inscrit dans une série d'attaques contre les infrastructures des forces de l'ordre britanniques. En 2023, le Metropolitan Police Service avait subi une fuite via un prestataire externe. En 2024, la Police Service of Northern Ireland avait accidentellement publié les noms de 10 000 officiers. La compromission du PNLD représente l'incident le plus large à ce jour en termes de forces couvertes et de nombre d'individus affectés.

Au-delà du cas britannique, cet incident illustre un angle mort systémique : les bases de données partagées entre agences multiples, qui permettent une coordination efficace, créent des concentrations de données particulièrement attractives pour les attaquants. La mutualisation des ressources d'information a un coût sécuritaire qui doit être pleinement intégré dans la gouvernance des risques de ces organisations.

Impact et exposition

Les 100 000 officiers et personnels dont les données ont été exposées font face à un risque élevé de phishing ciblé exploitant leurs informations professionnelles. Les 43 forces de police concernées doivent renforcer leurs procédures d'authentification et sensibiliser leurs effectifs. La disponibilité des données sur le dark web signifie que le risque persiste dans la durée, bien au-delà de la réponse immédiate à l'incident.

Recommandations

• Alerter les personnels concernés sur le risque de phishing ciblé exploitant leurs informations professionnelles exposées
• Activer l'authentification multifacteur (MFA) sur tous les comptes email et systèmes professionnels des personnels affectés, si ce n'est pas déjà le cas
• Monitorer les tentatives de connexion inhabituelles aux systèmes internes utilisant les adresses email exposées comme identifiants
• Revue des accès tiers : auditer les systèmes et partenaires ayant accès aux annuaires de contacts des forces de police
• Réévaluer la classification des annuaires : les contacts des forces de l'ordre méritent une protection renforcée, équivalente à celle des données opérationnelles sensibles