Violation de données chez UK Government Investments en 2025–2026

La source principale est le rapport annuel et les comptes 2025–26 de UK Government Investments. Ce rapport officiel documente directement le nombre de personnes concernées, les catégories de données, la durée approximative de l’exposition, le non-respect des politiques, le signalement à l’autorité de contrôle et l’examen externe mené après l’incident.

The Guardian a examiné de manière indépendante les informations publiées dans le rapport annuel et en a rendu compte le 2 août 2026. Son article confirme que les coordonnées de 51 agents de l’État ont été accessibles pendant environ 40 heures, que UKGI a fait appel à des spécialistes externes pour examiner ses dispositifs de contrôle et que la date exacte de l’incident n’a pas été publiée.

UKGI indique seulement que l’incident s’est produit au cours de l’exercice allant du 1er avril 2025 au 31 mars 2026. Les dates auxquelles l’accès a commencé, a été découvert et a été fermé n’ont pas été divulguées. Le 1er avril 2025 correspond donc au début de la période déclarée, et non à la date exacte de la violation de données.

Le fichier est resté accessible au public pendant environ 40 heures. Cette durée indique combien de temps l’exposition a persisté, mais ne permet pas de savoir combien de fois le fichier a été consulté, téléchargé ou partagé. Les sources ne confirment pas qu’une personne non autorisée ait utilisé le fichier.

Les catégories de données personnelles dont l’exposition est confirmée sont les noms et les adresses e-mail professionnelles. Le même fichier contenait aussi des informations de synthèse sur la gestion, dont les détails n’ont pas été rendus publics. Cette expression désigne des informations internes sur l’organisation et ne permet pas d’établir la présence d’autres catégories de données personnelles.

Les sources ne font état d’aucune exposition de numéros de téléphone, d’adresses de domicile, de mots de passe, de documents d’identité, de comptes bancaires, de cartes de paiement, d’informations de santé ou de contenus d’e-mails privés. L’incident confirmé concerne un fichier rendu accessible par accident. Aucune cyberattaque ni activité liée à un logiciel malveillant ou à un rançongiciel n’a été établie.

Le rapport officiel recense 51 agents de l’État dont les noms et les adresses e-mail professionnelles figuraient dans le fichier. Il s’agit d’un nombre de personnes, et non d’un nombre de documents, d’une mesure de la taille du fichier ou d’un nombre d’accès. La durée d’environ 40 heures est une mesure distincte.

Les sources n’établissent pas que les informations de chaque agent ont été consultées par une personne non autorisée ou utilisées à mauvais escient. Ce total désigne les personnes dont les données figuraient dans le fichier exposé. Il ne correspond pas à un nombre de cas confirmés d’hameçonnage, de prise de contrôle de comptes ou d’autres préjudices.

UKGI a volontairement signalé l’incident à l’Information Commissioner's Office, tout en déclarant qu’il se situait en dessous du seuil imposant une notification obligatoire, et l’a porté à l’attention de son comité d’audit et des risques. UKGI a également chargé un cabinet indépendant d’examiner sa réponse à l’incident et ses dispositifs de contrôle en matière de sécurité de l’information.

L’examen externe a jugé appropriée la réponse de UKGI à l’incident et a recommandé de renforcer les dispositifs de contrôle et la préparation aux incidents. UKGI a déclaré avoir mis en œuvre, ou prévoir de mettre en œuvre dans les mois à venir, la très grande majorité de ces recommandations. Les sources ne font état d’aucune sanction précise ni d’aucune utilisation abusive confirmée.

Une adresse e-mail professionnelle associée à des informations sur la fonction occupée peut faciliter un hameçonnage ciblé qui semble propre à une organisation. Lorsque des messages inattendus prétendent provenir de UKGI, de HM Treasury ou d’un autre organisme public, vérifiez l’expéditeur, le nom de domaine des liens et l’action demandée en passant par un canal officiel que vous aurez trouvé indépendamment du message.

N’utilisez pas les liens qui demandent un mot de passe ou un code d’authentification multifacteur, et demandez à votre équipe de sécurité de vérifier les invitations inattendues à partager des fichiers. Si UKGI vous a envoyé une notification individuelle, utilisez-la comme source principale pour déterminer quelles données vous concernant sont touchées. L’absence de notification ne doit pas être considérée comme une preuve définitive que vos coordonnées ne figuraient pas dans le fichier.