Résumé

  • Le 14 octobre, le gouvernement a indiqué qu’environ 250 000 dossiers de la Legal Aid Agency présents dans les données exfiltrées précédaient 2007 ; le plus ancien dossier vérifié à ce jour remonte à 1978.
  • Le périmètre rendu public inclut aussi des données limitées de probation dans les éléments emportés lors de l’incident touchant la LAA, sans désigner pour autant les personnes concernées.

L’année 1978 marque une limite dans les éléments désormais recensés, pas un nombre de personnes exposées. Le Ministry of Justice indique que son analyse en cours a retrouvé quelque 250 000 dossiers de la Legal Aid Agency antérieurs à 2007 et vérifié un dossier datant de 1978. L’attaque avait été détectée le 23 avril 2025 ; le 16 mai, le gouvernement avait établi qu’elle était plus étendue que prévu. La mise à jour du 14 octobre 2026 modifie donc la description publique après de nouveaux travaux techniques et documentaires. Elle ne dit ni que tous les dossiers de ces années ont été pris, ni que toute personne ayant eu recours à l’aide juridictionnelle a été touchée. La déclaration écrite au Parlement et la mise à jour publique posent clairement cette limite.

Il faut distinguer un dossier d’une personne. Un élément peut être un paiement, un courrier, une demande ou un fragment d’un système de gestion. Le gouvernement précise que les données varient d’une personne à l’autre et qu’aucun dossier complet relatif à une affaire d’aide juridictionnelle n’a été compromis. Les tableaux mentionnent des champs qui peuvent comprendre nom, adresse, date de naissance, identifiant national, information financière ou détails d’un dossier. Ils ne disent pas que toutes ces informations figurent pour chaque personne. Les FAQ archivées sur l’incident de la Legal Aid Agency décrivaient auparavant une période connue allant de 2007 au 16 mai 2025. C’était l’état des connaissances de l’époque, pas la garantie que des éléments plus anciens ne pourraient jamais être retrouvés.

La mise à jour déplace aussi la limite entre services dans le récit public. Elle indique que des informations limitées concernant HM Prison and Probation Service, plus précisément des données de probation, figuraient dans les éléments exfiltrés pendant le même incident. Le communiqué évoque un petit groupe de personnes suivies par les services de probation entre 2010 et 2017 ; plus de 99 % de ce sous-ensemble concerne 2016 et 2017. Cela établit que ces données se trouvaient dans le contenu sorti des systèmes de la Legal Aid Agency. Cela ne prouve pas une intrusion dans les systèmes de HMPPS. Le gouvernement ne donne pas non plus le nombre de personnes représentées par ce sous-ensemble. La mise à jour de la LAA indique que les informations mentionnées ne concernent pas des victimes de crimes.

Cette limite explique pourquoi il ne s’agit pas seulement d’allonger une période. Le Ministry of Justice dit qu’une grande partie des données exfiltrées est fragmentaire, non structurée et incomplète. Selon lui, ces caractéristiques peuvent compliquer l’identification des personnes par ceux qui ont dérobé les données ; elles ne permettent pas davantage de déduire qu’une personne a été touchée au seul motif qu’elle appartient à une catégorie ou à une période. Le gouvernement dit ne disposer d’aucune indication d’une publication ou d’un partage des données volées.

« Aucune indication » décrit les éléments connus aujourd’hui ; ce n’est pas la preuve que les données ne circuleront jamais.

L’historique de contrôle ajoute une autre chronologie. En juin, le gouvernement a déclaré que les risques numériques et cyber figuraient depuis 2021 dans les registres du Legal Aid Agency et du Ministry of Justice. Il a qualifié l’infrastructure de la LAA, évaluée en 2022-2023, de la plus complexe et fragile du ministère. Selon la même réponse, 10,5 millions de livres d’investissement en 2024-2025 ont financé une surveillance et des alertes qui, d’après le gouvernement, ont permis de détecter l’attaque au moment où elle l’a été. Le risque lié aux systèmes anciens demeurait cependant élevé. Il s’agit des évaluations publiées par le gouvernement, pas d’une conclusion indépendante sur la cause de cette attaque. La réponse parlementaire sur la détection et les systèmes en donne la chronologie.

Deux rapports financiers montrent pourquoi le périmètre de la fuite et le rétablissement des systèmes exigent des preuves distinctes. Le rapport 2024-2025 de la Legal Aid Agency indique que l’évaluation précédente estimait l’incident limité aux systèmes de la LAA et que les services ont dû fonctionner par des dispositifs de continuité. La découverte ultérieure de données de probation porte sur des informations présentes dans les éléments exfiltrés ; elle n’établit pas à elle seule une intrusion dans les systèmes de HMPPS. De son côté, le Comptroller and Auditor General a contrôlé les mesures de réponse, l’intégrité des données et les paiements pris en compte dans les comptes du Ministry of Justice, sans relever d’anomalie significative. Cette conclusion d’audit concerne les états financiers. Elle ne certifie pas que toute personne dont les données ont été prises a été identifiée.

La prochaine mesure utile

Le dossier public couvre désormais plusieurs décennies, mais le gouvernement n’a publié ni le nombre de personnes touchées, ni celui qu’il peut identifier, ni calendrier d’achèvement des vérifications individuelles. Il dit qu’il identifiera les personnes lorsque les données le permettront. Cette réserve conditionnelle est le point le plus lourd de conséquences : un inventaire volumineux ne devient pas automatiquement une liste fiable de notifications.

Les prochaines preuves utiles indiqueraient comment les dossiers sont associés aux personnes, où le lien reste incertain, quels groupes ont été contactés et comment les cas non résolus seront repris.