Pour l'ancien ministre britannique de la Défense Carns, la cyberattaque contre JLR était parrainée par un État

Carns s'exprimait lors d'un événement organisé par Chatham House en juillet 2026, un mois après avoir démissionné de son poste ministériel. Il a ensuite déclaré au Telegraph que ses propos ne reposaient pas sur une évaluation officielle du ministère de la Défense sur l'attaque.

La remarque est venue lors d'une question sur « la résilience et la dissuasion des menaces en l'absence de leadership politique ». Carns a déclaré : « Nous savons que l'attaque contre Jaguar Land Rover était parrainée par un État, etc., etc. » Il a ajouté qu'il « serait très improbable qu'une attaque de cette ampleur vienne de quelque part sans que l'État hôte le sache ». Au moment de l'attaque, le Telegraph rapportait que la Russie était soupçonnée, mais aucune évaluation finale n'a été rendue publique. Un porte-parole du gouvernement a déclaré : « Nous ne commentons pas systématiquement les enquêtes en cours ni les activités opérationnelles. » Le New York Times rapportait en juin qu'un groupe de pirates russes était responsable, selon cinq personnes proches d'une enquête sur le piratage. David Reed, ministre de la Défense du cabinet fantôme, a déclaré au Telegraph que les Britanniques « méritent des réponses » et que le gouvernement avait laissé le public dans le noir.

Le coût et la réserve

Le Cyber Monitoring Centre a modélisé l'impact financier total au Royaume-Uni à 1 900 000 000 £, dans une fourchette de 1 600 000 000 £ à 2 100 000 000 £. Il a classé l'incident comme un événement systémique de catégorie 3 et l'a qualifié de plus coûteux de l'histoire britannique « de loin ». Le centre précise que ce chiffre relève d'une analyse par scénarios, et non d'une comptabilité opérationnelle confirmée. Il estime que l'incident a touché de manière significative plus de 2 700 organisations britanniques, tandis que le Telegraph rapportait qu'environ 5 000 organisations avaient été affectées, dont des concessions automobiles, des ateliers de réparation et des fournisseurs de pièces. La production britannique a chuté de près de 5 000 véhicules par semaine pendant l'arrêt, selon le centre. Le gouvernement a accordé une garantie de prêt d'urgence de 1 500 000 000 £ pour maintenir la base de fournisseurs en vie, selon une analyse de shattered.io.

JLR a estimé le coût de l'arrêt de production à 260 m £ (351 m $). L'entreprise a déclaré une perte de 244 m £ (330 m $) pour l'exercice clos en mars, contre un bénéfice net de 1 800 000 000 £ (2 400 000 000 $) en 2024-25.

Cinq semaines de lignes à l'arrêt

L'attaque a commencé vers le 31 août 2025, selon une analyse de shattered.io. Le 1er septembre 2025, JLR a confirmé une intrusion dans son environnement informatique interne et a coupé ses systèmes informatiques mondiaux pour contenir l'assaillant. Cette mesure de confinement, pratique standard en réponse à incident, a arrêté les chaînes de montage car JLR fonctionne selon un modèle fortement numérisé et en flux tendu. Les usines de Solihull, Halewood et Wolverhampton se sont arrêtées, ainsi que celle de Nitra en Slovaquie et les opérations au Brésil et en Inde.

JLR a d'abord prolongé la suspension jusqu'au 24 septembre, puis jusqu'au 1er octobre 2025, avant une reprise contrôlée et progressive tout au long du mois d'octobre. L'entreprise a indiqué que ses équipes avaient travaillé « sans relâche » avec des spécialistes de la cybersécurité, le National Cyber Security Centre et les forces de l'ordre.

Qui a revendiqué l'attaque

La responsabilité a été revendiquée sur Telegram par un groupe se faisant appeler Scattered Lapsus$ Hunters, qui a publié des captures d'écran qu'il présentait comme issues des systèmes internes de JLR. JLR n'a pas confirmé officiellement l'attribution, et des analystes en forensique, dont CYFIRMA, ont averti que les tactiques exactes et l'attribution restaient non vérifiées tant que l'enquête se poursuivait. Le mode opératoire du groupe reposait sur le SIM swapping, l'usurpation auprès des services d'assistance, la fatigue MFA et des identifiants volés plutôt que sur des logiciels malveillants exotiques, selon l'analyse.