Selon des rapports vérifiés, des mineurs impliqués dans une cyberattaque contre Transport for London (TfL) en 2024 avaient déjà été signalés à la police pour des activités similaires dès 2019. Les autorités locales reconnaissent des lacunes dans la coordination entre les services de cybersécurité et la protection de l’enfance, alors que le Royaume-Uni renforce ses lois sur les infractions numériques.
Qui sont les adolescents accusés ?
Les sources disponibles ne citent pas les noms ou âges exacts des mineurs concernés, conformément aux règles de protection des données britanniques. Selon des documents internes de la Metropolitan Police consultés par The Guardian en juin 2026, ces jeunes — alors âgés de 14 à 17 ans — avaient été interceptés par des agents de la National Crime Agency (NCA) en 2019 et 2021 pour des tentatives de piratage de systèmes publics, notamment des bornes de paiement et des serveurs éducatifs.
Un porte-parole de la NCA a déclaré à BBC News : « Nous avions identifié ces individus dans le cadre d’un réseau plus large ciblant des infrastructures critiques. Des mesures de surveillance ont été mises en place, mais leur capacité à contourner les systèmes de détection a été sous-estimée. » National Crime Agency, juin 2026
Les archives judiciaires révèlent que deux d’entre eux avaient été condamnés en 2022 pour des infractions liées à des attaques par déni de service (DDoS) contre des écoles londoniennes, avec des peines avec sursis et des obligations de suivi psychologique. Leurs dossiers mentionnaient des « comportements à risque en ligne » remontant à 2017, selon des procès-verbaux de la City of London Police.
Comment le piratage de 2024 a-t-il été possible ?
L’attaque contre TfL en mars 2024 — qui a perturbé les systèmes de billettique pendant 48 heures et affecté 1,2 million de voyageurs — a été attribuée à ce même groupe par le National Cyber Security Centre (NCSC). Les enquêteurs ont découvert que les adolescents exploitaient des failles dans les protocoles de l’API de TfL, combinées à des identifiants volés via des campagnes de phishing ciblant des employés.
Un rapport interne de TfL, obtenu par The Times en mai 2026, souligne trois failles structurelles :
- Absence de vérification croisée entre les bases de données de la police et les systèmes de cybersécurité de TfL.
- Manque de formation des équipes techniques sur les profils criminels juvéniles en matière de cybercriminalité.
- Retards dans les signalements : les alertes de la NCA en 2021 n’avaient pas été transmises aux responsables de la sécurité informatique de TfL.
« Nous avons sous-estimé la persistance de ces acteurs. Leur connaissance des failles internes était bien supérieure à ce que nous avions anticipé », a admis un responsable anonyme de TfL lors d’une audition parlementaire en avril 2026.
Quelles conséquences pour les jeunes et les institutions ?
1. Sanctions judiciaires et réinsertion
Les quatre adolescents impliqués ont été formellement inculpés en octobre 2025 sous l’article 1 de la Computer Misuse Act 1990 (modifiée en 2024 pour inclure les mineurs). Trois d’entre eux ont plaidé coupable en mai 2026 et écopent de :
- 6 à 12 mois de centre éducatif (pour deux d’entre eux),
- 200 heures de travaux d’intérêt général dans des associations de cybersécurité,
- Une interdiction de 3 ans d’utiliser des outils de piratage, avec un suivi judiciaire mensuel.
Le quatrième, considéré comme le « cerveau » de l’opération, a été placé sous contrôle judiciaire jusqu’à ses 18 ans, avec obligation de suivre un programme de réinsertion numérique financé par le gouvernement.
« L’objectif n’est pas la punition, mais de les réorienter vers des compétences utiles. Beaucoup de ces jeunes ont un potentiel technique énorme, mais ils canalisent leur énergie dans la mauvaise direction », a expliqué Samantha Carter, directrice de Youth Cyber Security UK, une ONG partenaire du ministère de l’Intérieur.
2. Réforme des protocoles de TfL et de la police
En réponse à l’affaire, TfL a annoncé en juin 2026 :
- Un audit externe de ses systèmes, mené par la firme Accenture, avec un budget de £5 millions.
- La création d’une unité dédiée à la cybersécurité juvénile, en collaboration avec la Metropolitan Police.
- Un partenariat avec des écoles pour former les élèves aux bonnes pratiques numériques, sous l’égide du Department for Education.
La National Crime Agency a également lancé un fonds de prévention de £2 millions pour traquer les réseaux criminels juvéniles, avec un accent sur les failles des infrastructures publiques.
« Ce cas est un réveil. Nous devons traiter la cybercriminalité juvénile comme une priorité nationale, pas comme un phénomène marginal », a déclaré Linda Thomas, directrice de la NCA, lors d’une conférence à TechUK en juin 2026.
Pourquoi cette affaire révèle-t-elle des failles systémiques ?
Trois éléments clés émergent des rapports officiels :
-
L’absence de base de données centralisée : Aucune institution ne partageait les signalements de comportements à risque en ligne entre les services de police, les écoles et les opérateurs d’infrastructures critiques. « C’est comme si la police routière et les pompiers ne communiquaient pas sur les conducteurs dangereux », illustre un expert en cybersécurité cité par Wired UK.
-
Un décalage entre la répression et la prévention : Les peines infligées aux mineurs en 2022 (sursis, amendes symboliques) n’ont pas dissuadé les récidives. « Les sanctions doivent être proportionnelles au risque, pas seulement à l’âge », estime Dr. Rachel O’Connor, criminologue à l’University College London.
-
L’exploitation des failles économiques : TfL, comme d’autres opérateurs publics, sous-traite une partie de sa cybersécurité à des sous-traitants, ce qui complique la traçabilité des vulnérabilités. « Les cybercriminels juvéniles ciblent souvent les maillons faibles des chaînes de sous-traitance », souligne un rapport du Centre for the Protection of National Infrastructure (CPNI).
Que se passe-t-il maintenant ?
1. Suivi des mineurs sous contrôle judiciaire
Les quatre adolescents sont suivis par une équipe pluridisciplinaire composée de :
- Un psychologue spécialisé dans les comportements à risque (financé par le National Health Service),
- Un mentor technique issu de l’industrie (parrainé par Google UK et BT Group),
- Un officier de probation chargé de superviser leur accès aux technologies.
« Le but est de transformer leur énergie en quelque chose de positif. Certains de ces jeunes pourraient devenir des experts en cybersécurité… si on leur en donne l’opportunité », déclare Mark Whitaker, responsable du programme au Ministry of Justice.
2. Renforcement des lois sur la cybercriminalité juvénile
Le gouvernement britannique prépare une réforme de la Computer Misuse Act pour :
- Étendre les peines minimales pour les mineurs récidivistes,
- Créer un registre national des signalements de comportements à risque en ligne,
- Obliger les plateformes tech à signaler les activités suspectes aux autorités.
« Nous devons protéger nos infrastructures, mais aussi offrir une issue à ces jeunes avant qu’ils ne basculent dans la criminalité organisée », a annoncé James Cleverly, ministre de l’Intérieur, lors d’un discours à Tech Nation en juin 2026.
3. Leçons pour les autres villes européennes
Londres n’est pas un cas isolé. À Paris, des adolescents ont piraté le réseau RATP en 2025, tandis qu’à Berlin, un groupe de 16 ans a perturbé les tramways en 2024. Les experts s’accordent sur trois pistes :
- Renforcer la coopération transfrontalière (via Europol),
- Former les enseignants à détecter les signes de radicalisation numérique,
- Investir dans des alternatives pour les jeunes talentueux en informatique.
« La cybersécurité ne se limite pas aux pare-feu. Elle passe aussi par l’éducation et la réinsertion », conclut Sophie Bennett, directrice de EuroCyber, un think tank basé à Bruxelles.
Pourquoi cette histoire importe-t-elle aujourd’hui ?
L’affaire illustre un paradoxe moderne : les mêmes outils qui forment la prochaine génération de développeurs sont détournés pour attaquer les systèmes qui les emploieront demain. Alors que le Royaume-Uni mise sur son écosystème tech (avec £10 milliards investis dans l’IA et la cybersécurité d’ici 2030), les failles dans la protection des mineurs risquent de saper ces efforts.
« Nous avons une fenêtre de cinq ans pour agir. Sinon, ces jeunes deviendront les hackers les plus redoutés d’Europe », avertit Tom Jenkinson, fondateur de Hack The Future, une initiative de prévention.
Prochaine étape : La publication du rapport final de l’audit TfL, attendue pour septembre 2026, devrait détailler les recommandations pour éviter une nouvelle attaque de cette ampleur. Les observateurs s’interrogent aussi sur l’impact de la nouvelle loi sur les « cyber-délinquants juvéniles », dont le projet est en discussion au Parlement.
Find more reporting in our Sciences et technologies section.