Pour l'ancien ministre britannique de la Défense Carns, la cyberattaque contre JLR était parrainée par un État

Carns s'exprimait lors d'un événement organisé par Chatham House en juillet 2026, un mois après avoir démissionné de son poste ministériel. Il a déclaré ensuite au Telegraph que ses propos ne reposaient pas sur une évaluation officielle du ministère de la Défense concernant l'attaque.

La remarque est venue lors d'une question sur « la résilience et la dissuasion des menaces en l'absence de leadership politique ». Carns a déclaré : « Nous savons que l'attaque contre Jaguar Land Rover était parrainée par un État, etc., etc. » Il a ajouté qu'il « serait très improbable qu'une attaque de cette ampleur provienne d'ailleurs sans que l'État hôte n'en sache rien ». Au moment de l'attaque, le Telegraph rapportait que la Russie était soupçonnée, mais aucune évaluation finale n'a été rendue publique. Un porte-parole du gouvernement a déclaré : « Nous ne commentons pas habituellement les enquêtes en cours ni les activités opérationnelles. » Le New York Times a rapporté en juin qu'un groupe de pirates russes était responsable, selon cinq personnes proches d'une enquête sur le piratage. David Reed, ministre de la Défense du cabinet fantôme, a déclaré au Telegraph que les Britanniques « méritent des réponses » et que le gouvernement avait laissé le public dans l'ignorance.

Le coût et la réserve

Le Cyber Monitoring Centre a estimé l'impact financier total pour le Royaume-Uni à 1 900 000 000 £, dans une fourchette de 1 600 000 000 £ à 2 100 000 000 £. Il a classé l'incident comme événement systémique de catégorie 3 et l'a qualifié de plus coûteux de l'histoire britannique « de loin ». Le centre a précisé que ce chiffre relevait d'une analyse par scénarios, et non d'une comptabilité opérationnelle confirmée. Il a estimé que l'incident avait touché de manière significative plus de 2 700 organisations britanniques, tandis que le Telegraph rapportait qu'environ 5 000 organisations étaient affectées, dont des concessions automobiles, des ateliers de réparation et des fournisseurs de pièces. La production britannique a chuté de près de 5 000 véhicules par semaine pendant l'arrêt, selon le centre. Le gouvernement a accordé une garantie de prêt d'urgence de 1 500 000 000 £ pour maintenir la base de fournisseurs à flot, selon une analyse de shattered.io.

JLR a estimé le coût de l'arrêt de production à 260 000 000 £ (351 000 000 $). L'entreprise a déclaré une perte de 244 000 000 £ (330 000 000 $) pour l'exercice fiscal clos en mars, contre un bénéfice net de 1 800 000 000 £ (2 400 000 000 $) en 2024-25.

Cinq semaines de lignes à l'arrêt

L'attaque a commencé vers le 31 août 2025, selon une analyse de shattered.io. Le 1er septembre 2025, JLR a confirmé une intrusion dans son environnement informatique interne et a coupé ses systèmes informatiques mondiaux pour contenir l'intrus. Cette mesure de confinement, pratique standard en réponse aux incidents, a stoppé les chaînes de montage car JLR fonctionne selon un modèle fortement numérisé et en flux tendu. Les usines de Solihull, Halewood et Wolverhampton se sont arrêtées, ainsi que celle de Nitra en Slovaquie et les activités au Brésil et en Inde.

JLR a d'abord prolongé la suspension jusqu'au 24 septembre, puis de nouveau jusqu'au 1er octobre 2025, avant une reprise contrôlée et progressive tout au long d'octobre. L'entreprise a indiqué que ses équipes avaient travaillé « sans relâche » avec des spécialistes en cybersécurité, le National Cyber Security Centre et les forces de l'ordre.

Qui a revendiqué l'attaque

La responsabilité a été revendiquée sur Telegram par un groupe se faisant appeler Scattered Lapsus$ Hunters, qui a publié des captures d'écran qu'il présentait comme issues des systèmes internes de JLR. JLR n'a pas officiellement confirmé l'attribution, et des analystes forensiques, dont CYFIRMA, ont averti que les tactiques exactes et l'attribution restaient non vérifiées tant que l'enquête se poursuivait. Le mode opératoire du groupe reposait sur le SIM swapping, l'usurpation auprès des services d'assistance, la fatigue liée à l'authentification multifacteur et des identifiants volés plutôt que sur des logiciels malveillants sophistiqués, selon l'analyse.