Incidents dans le pays :
33 incidents catalogued
L'Université de Nottingham a confirmé un incident informatique après que le groupe d'extorsion ShinyHunters a affirmé avoir volé environ 40 Go de données de son système de dossiers étudiants, exposant quelque 455 000 adresses e-mail ainsi que des noms, numéros de passeport et informations de paiement des frais.
Une cyberattaque contre le plus grand constructeur automobile britannique a contraint JLR à couper son réseau informatique mondial et a interrompu la production de véhicules au Royaume-Uni, en Chine, en Slovaquie, en Inde et au Brésil pendant cinq semaines — désormais considérée comme l'incident cyber le plus économiquement dommageable de l'histoire du Royaume-Uni.
L'ingénierie sociale d'un service d'assistance tiers a permis à Scattered Spider d'obtenir un compte administrateur de domaine, utilisé pour déployer le rançongiciel DragonForce sur le parc VMware ESXi de M&S pendant le week-end de Pâques 2025 — paralysant les paiements sans contact, le Click & Collect et les commandes en ligne pendant plus de six semaines.
Une fuite chez le courtier en données National Public Data (Jerico Pictures) a exposé une base d'environ 2,9 milliards d'enregistrements contenant noms, numéros de sécurité sociale, dates de naissance et adresses collectés depuis des sources publiques et non publiques, déclenchant une vague de poursuites et la faillite de l'entreprise.
En septembre 2024, des données du service de billetterie Central Tickets ont été publiées publiquement sur un forum de piratage. Les données suggèrent que la fuite s'est produite plusieurs mois plus tôt et a exposé 723 000 adresses e-mail uniques ainsi que des noms, des numéros de téléphone, des adresses IP, des achats et des mots de passe stockés sans sel…
En mars 2024, le site web icoachcricket de l'English Cricket a subi une fuite de données qui a exposé plus de 40 000 enregistrements. Les données comprenaient des adresses e-mail et des mots de passe stockés sous forme d'empreintes bcrypt, d'empreintes MD5 salées, ou des deux.
Les opérateurs du rançongiciel Rhysida ont détruit des serveurs, exigé environ 600 000 £ et divulgué 600 Go de données internes lorsque la British Library a refusé de payer. Le catalogue principal n'est revenu en ligne — en lecture seule — qu'en janvier 2024. La reprise absorbe 40 % des réserves financières de la bibliothèque.
Des pirates liés à l'État chinois ont exploité des failles ProxyShell non corrigées de Microsoft Exchange pour rester indétectés plus d'un an dans les systèmes de la Commission électorale britannique, accédant aux données du registre électoral d'environ 40 millions d'électeurs.
En juin 2023, des données appartenant à la « place de marché n° 1 des entreprises au Royaume-Uni » Rightbiz sont apparues sur un forum de piratage populaire. Comprenant plus de 18 millions de lignes de données, la fuite incluait 65 000 adresses e-mail uniques ainsi que des noms, des numéros de téléphone et des adresses physiques.
Cl0p a exploité la CVE-2023-34362 dans MOVEit Transfer de Progress Software pour rançonner plus de 2 700 organisations, dont la BBC, British Airways et le département américain de l’Énergie.
Une intrusion du rançongiciel Black Basta chez le géant britannique de l'externalisation Capita a exposé les données de pension et personnelles d'environ 6,6 millions de personnes, entraîné une amende de 14 millions de livres de l'ICO et coûté plus de 25 millions de livres à l'entreprise.
En janvier 2023, le service de réservation de patinoires britannique Planet Ice a subi une fuite de données. L'incident a exposé les données personnelles de 240 000 personnes, dont des adresses e-mail et postales, des numéros de téléphone, des sexes, des dates de naissance et des mots de passe stockés sous forme de hachages MD5.
Des affiliés de LockBit ont chiffré les systèmes d'exportation internationale de Royal Mail, paralysant tous les services postaux vers l'étranger depuis le Royaume-Uni pendant six semaines. Royal Mail a publiquement refusé la demande de rançon de 65,7 M£ ; LockBit a divulgué progressivement les données exfiltrées.
Une attaque du rançongiciel LockBit 3.0 contre le fournisseur logiciel du NHS, Advanced, a paralysé le service de triage NHS 111 et contraint les soignants à revenir au papier et au crayon, exposant les données de dizaines de milliers de patients et entraînant une amende de 3,07 millions de livres de l'ICO.
En avril 2022, le site britannique d'achat et de vente de billets de football Fanpass a subi une fuite de données qui a exposé 112 000 enregistrements clients. Les données concernées comprennent des noms, des numéros de téléphone, des adresses physiques, des historiques d'achat et des empreintes de mots de passe salées.
En octobre 2021, le site de fantasy premier league (football) Fantasy Football Hub a subi une fuite de données qui a exposé 66 000 adresses e-mail uniques. Les données comprenaient des noms, des noms d'utilisateur, des adresses IP, des transactions et des mots de passe stockés sous forme d'empreintes MD5 WordPress.
En juillet 2021, le site web britannique Guntrader a subi une fuite de données qui a exposé 112 000 adresses e-mail uniques. De nombreuses informations personnelles ont également été exposées, notamment des noms, des numéros de téléphone, des données de géolocalisation, des adresses IP et divers attributs d'adresses postales (villes pour tous les utilisateurs,…
Des affiliés de REvil ont exploité une faille zero-day d'injection SQL dans la plateforme de gestion à distance Kaseya VSA pour déployer un rançongiciel auprès d'environ 60 MSP et, à travers eux, d'environ 1 500 organisations en aval. La plus grande attaque par rançongiciel via la chaîne d'approvisionnement jamais enregistrée.
Les données de 533 millions d'utilisateurs Facebook de 106 pays — dont numéros de téléphone, identifiants Facebook, noms complets, localisations, dates de naissance et certaines adresses e-mail — ont été publiées gratuitement sur un forum de piratage de bas niveau. Ces données avaient été collectées via une faille de l'importateur de contacts corrigée par Facebook en 2019.
En février 2021, une série de failles de sécurité particulièrement graves ont été identifiées dans le système NurseryCam conçu pour permettre aux parents de surveiller à distance leurs enfants pendant qu'ils sont à la crèche. Ces failles ont entraîné l'exposition de plus de 10 000 enregistrements de parents avant la fermeture du service.
En décembre 2020, le fournisseur d'électricité britannique People's Energy a subi une fuite de données. La fuite a exposé près de 7 Go de fichiers contenant 359 000 adresses e-mail uniques, ainsi que des noms, des numéros de téléphone, des adresses physiques et des dates de naissance.
Les opérateurs de REvil/Sodinokibi ont déclenché leur charge contre Travelex le soir du Nouvel An 2019 après avoir séjourné dans le réseau pendant six mois via un VPN Pulse Secure non corrigé. Travelex a versé 2,3 millions de dollars ; la maison mère Finablr a fait défaut ; PwC a placé Travelex en liquidation, avec la perte de plus de 1 300 emplois.
Les opérateurs de Magecart ont injecté un JavaScript de vol de données de cartes dans la page de paiement de British Airways, dérobant les détails de cartes sur 380 000 transactions en 15 jours. L'ICO britannique a d'abord proposé une amende RGPD de 183,4 M£ — ramenée ensuite à 20 M£ après des arguments d'atténuation liés à l'impact du Covid.
En juillet 2018, l'entreprise de commerce électronique britannique Fashion Nexus a subi une fuite de données qui a exposé 1,4 million d'enregistrements. Plusieurs sites web développés par sa société sœur White Room Solutions ont été touchés par la fuite, parmi lesquels des sites tels que Jaded London et AX Paris.
Le cabinet de conseil politique Cambridge Analytica a obtenu de manière abusive les données personnelles de jusqu'à 87 millions d'utilisateurs Facebook via une application de quiz de personnalité, exploitant l'API tierce permissive de Facebook pour collecter les réseaux d'amis et bâtir des profils de ciblage électoral. Le scandale a entraîné une amende record de 5 milliards de dollars de la FTC.
Une vulnérabilité Apache Struts non corrigée a permis à des attaquants d'exfiltrer numéros de sécurité sociale, dates de naissance, adresses et numéros de permis de conduire de 147 millions de consommateurs américains, britanniques et canadiens.
Un wiper destructeur déguisé en rançongiciel, propagé via une mise à jour compromise d'un logiciel comptable ukrainien. Estimé à 10 milliards de dollars de dommages dans le monde — la cyberattaque la plus dévastatrice économiquement de l'histoire.
Un ver rançongiciel nord-coréen qui a exploité la vulnérabilité SMB EternalBlue pour se propager à environ 200 000 systèmes dans 150 pays en 24 heures. Il a paralysé le NHS britannique et mis à genoux l'industrie manufacturière à l'échelle mondiale.
Une attaque par injection SQL contre le service Learning Lodge du fabricant de jouets hongkongais VTech a exposé les données personnelles de 6,4 millions d'enfants et près de 5 millions de comptes parents, devenant la première fuite majeure ciblant des données de mineurs.
Une attaque par injection SQL — commise principalement par quatre adolescents britanniques — a exposé les données personnelles d'environ 157 000 clients de TalkTalk, y compris des coordonnées bancaires. Elle a déclenché une amende record de 400 000 £ de l'ICO britannique.
En février 2014, le guide britannique des services et des entreprises connu sous le nom de Muslim Directory a été attaqué par le pirate connu sous le nom de @th3inf1d3l. Les données ont par conséquent été divulguées publiquement et comprenaient les comptes web de dizaines de milliers d'utilisateurs contenant des données telles que leurs noms, leur adresse postale, leur âge…
Un jeu de données attribué au réseau social et de rencontres Badoo a exposé environ 112 millions d'adresses e-mail uniques ainsi que des noms, des dates de naissance et des hachages de mots de passe MD5 ; les données ont circulé entre traders en 2016 et restent formellement non vérifiées.
La plateforme musicale Last.fm a été piratée en mars 2012, exposant plus de 43 millions de comptes avec des noms d'utilisateur, des adresses e-mail et des hachages de mots de passe MD5 non salés ; plus de 96 % des mots de passe ont été cassés en quelques heures lorsque les données ont fait surface en 2016.