Fuite de la base juridique de la police britannique: 135 000 enregistrements

Un service de référence juridique utilisé par toutes les forces de police d'Angleterre et du pays de Galles a confirmé que ses données avaient été volées puis publiées sur un site de fuites du dark web. La Police National Legal Database ne contient ni dossiers d'enquête ni casiers judiciaires, et pourtant la fuite touche environ 135 000 enregistrements. Parmi les victimes figurent de simples citoyens dont le seul tort a été de poser une question à la police.

Ce qui a réellement été dérobé

La Police National Legal Database, ou PNLD, est gérée par la police du West Yorkshire et sert de base de connaissances juridiques aux policiers et aux personnels de la justice pénale dans tout le Royaume-Uni. L'intrusion a été détectée le 26 juillet 2026, après quoi un groupe se faisant appeler ExfilSquad a publié des échantillons sur son site. La PNLD a confirmé publiquement le vol le 3 août.

• 114 000 enregistrements: comptes d'abonnés appartenant à des policiers et à d'autres professionnels de la justice pénale.
• 21 000 enregistrements: noms et adresses e-mail de personnes ayant utilisé Ask the Police, le service public par lequel chacun peut poser une question à la police.
• 1,9 Go: le volume revendiqué par ExfilSquad, qu'il décrit comme environ 135 000 contacts.
• Les champs: noms complets, adresses e-mail professionnelles et organisation employeuse.

Qui figure dans le fichier

Comme la PNLD dessert l'ensemble de la chaîne pénale et non un seul service, la population concernée est exceptionnellement large. Selon les informations publiées, les 43 forces de police relevant du Home Office en Angleterre et au pays de Galles sont concernées, ainsi que la British Transport Police. Des enregistrements remontent jusqu'au ministère de la Défense, au Home Office, au Crown Prosecution Service et à la National Crime Agency.

L'enquête est menée par la North East Regional Organised Crime Unit, avec l'appui de sociétés spécialisées en cybersécurité et de cette même National Crime Agency, ce qui crée une situation inconfortable: des agents de l'agence figurent eux-mêmes parmi les personnes exposées. L'ICO, l'autorité britannique de protection des données, a été informée.

Ce qui n'a pas été pris, et pourquoi cela compte

Dans une affaire de fuite, la précision joue dans les deux sens, et plusieurs éléments n'ont pas été exposés. La PNLD indique qu'aucun élément ne laisse penser que des mots de passe ou d'autres identifiants de sécurité aient été compromis. Aucune information confidentielle sur des victimes, des témoins ou des délinquants n'est concernée, car la base ne contient tout simplement pas ce type de matière. Aucune demande de rançon n'a été reçue, ce qui est en soi notable et évoque un groupe intéressé par la réputation ou la revente plutôt que par l'extorsion.

Pourquoi un annuaire d'adresses policières a de la valeur

Les bases de données de consommateurs volées se monnaient d'ordinaire en volume. Un annuaire de personnels judiciaires fonctionne autrement: il est petit, vérifié et précis. Il indique qui travaille où, il survit à tout changement de mot de passe et il reste exploitable des années, car les adresses professionnelles et les employeurs évoluent lentement. Pour qui prépare de l'ingénierie sociale contre un service, ou cherche simplement à identifier des agents, cette structure vaut davantage qu'une fuite bien plus volumineuse de comptes marchands.

Il existe ici un second groupe dont on parle beaucoup moins. Ask the Police existe précisément pour qu'une personne puisse s'informer sur ses droits, un litige ou un incident sans pousser la porte d'un commissariat. Ceux qui ont utilisé ce service pouvaient raisonnablement penser que la question resterait entre eux et lui. Leurs adresses se trouvent désormais dans le même fichier que celles des policiers.

Ce qu'un particulier peut faire, et ce qu'il ne peut pas

Le plus inconfortable, c'est le peu de prise qu'avaient les personnes concernées. Personne n'a choisi de figurer dans la PNLD: les agents y ont été inscrits par leur employeur, et le public a utilisé un service proposé par la police elle-même. Il n'y avait aucun réglage de confidentialité à durcir, aucun compte à supprimer par précaution, aucun moyen de vérifier comment ces données étaient conservées.

C'est aussi la limite de ce qu'un outil réseau peut corriger. Chiffrer une connexion protège ce qui circule entre un appareil et un service, et ne change rien à une base qui contient déjà un nom et un employeur. La réponse pratique à ce type d'incident consiste donc à surveiller le hameçonnage ciblé et à traiter avec méfiance toute correspondance professionnelle inattendue, plutôt qu'à se tourner vers un remède technique qui ne s'applique pas ici.