Cyberattaque : le long chantier du redémarrage

Après la cyberattaque, qui paie ? · Volet 5/8

Une sauvegarde préserve des fichiers ; leur retour dans un service utilisable demande souvent une reconstruction bien plus vaste. Les documents de la British Library, de M&S et de JLR permettent de suivre ce travail, tandis qu’un barème public révèle ce qu’achète un contrat de réponse à incident.

En décembre 2023, la British Library confirme avoir identifié des sauvegardes exploitables de ses collections numériques et de leurs métadonnées, épargnées par la cyberattaque du 28 octobre. Cette découverte apporte une réponse essentielle à la question de la conservation. La remise à disposition des documents engage pourtant un autre chantier : dans son retour d’expérience publié le 8 mars 2024, l’institution décrit une infrastructure fortement endommagée et des applications trop anciennes pour retrouver leur place dans l’environnement sécurisé en construction. Des copies existent ; il faut reconstruire les moyens de les utiliser. 1

Cette distance entre le fichier préservé et le service rendu donne son sujet au cinquième volet de notre enquête. Après les fournisseurs, l’assurance et la mesure du choc économique, nous suivons le travail acheté ou mobilisé pour reprendre : investigation technique, restauration, rapprochements de données, conseil juridique et reconstruction des outils. Les documents publics permettent d’en saisir plusieurs mécanismes et quelques prix. Ils laissent aussi des frontières visibles entre une charge comptabilisée, un contrat attribué et la valeur d’un service effectivement rétabli.

Les fichiers attendent leur infrastructure

La difficulté exposée par la British Library tient à l’assemblage du service. Une collection a besoin de fichiers, mais aussi des informations qui les décrivent, d’un catalogue qui les retrouve, d’applications compatibles et d’une infrastructure capable de les faire fonctionner. Le postmortem précise que certaines applications essentielles avaient perdu le soutien de leur éditeur ou ne pouvaient fonctionner dans la nouvelle architecture. Il distingue également les copies disponibles de leur validation complète, réalisable à mesure que chaque jeu de données revient en service. 1

Pour comprendre le travail que cela représente, on peut partir de l’usage : un lecteur cherche une référence, identifie un document et demande à le consulter. Chacune de ces actions suppose que plusieurs composants se comprennent. La reconstruction doit donc éprouver le parcours entier, jusqu’à la fonction attendue par l’utilisateur. C’est cette dépendance qui explique qu’une restauration de fichiers puisse précéder de loin le rétablissement de l’accès.

Le National Cyber Security Centre britannique, dans ses recommandations opérationnelles revues le 1er octobre 2026, demande précisément de partir des priorités métier et des dépendances entre systèmes. Les enquêteurs doivent établir ce qui s’est produit et éclairer la reprise ; les équipes de restauration doivent disposer d’un environnement dont la sécurité est suffisamment établie. L’état des sauvegardes compte autant que la capacité à les employer. 11

Le NCSC propose ensuite de viser un niveau d’activité minimum viable (MVO) : un fonctionnement assez sûr pour remplir les obligations de l’organisation et conserver la confiance de ses partenaires. Ceux-ci peuvent demander des éléments indépendants avant de reconnecter leurs propres systèmes. Une entreprise peut ainsi avoir remis en marche ses ordinateurs tout en poursuivant le travail nécessaire à la réouverture de ses échanges. 12

Méthode et périmètre

Entre une copie et le lecteur, plusieurs dépendances à rétablir. Le bilan du 8 mars 2024 décrit des copies sécurisées de collections numériques et de métadonnées, une infrastructure à reconstruire et des applications à adapter, migrer ou remplacer. Le dessin organise ces dépendances jusqu’aux fonctions de recherche, de demande et de consultation. Une voie provisoire combine catalogue consultable et demandes manuelles pour les documents accessibles, tandis que la messagerie, la finance et la paie dans le cloud fonctionnent normalement au moment du bilan. Les flèches explicitent le mécanisme ; leur dessin reste schématique.

Polices et licences des figures

Polices des figures : Inter Variable et JetBrains Mono Variable, sous licence SIL Open Font License 1.1. Inter · JetBrains Mono.

Cette façon de regarder la reprise rend leur place aux solutions provisoires. Elles permettent à des équipes de travailler pendant que les applications définitives sont réparées ou remplacées. Elles produisent à leur tour des informations qu’il faudra réintégrer : commandes enregistrées autrement, données conservées dans des outils temporaires, opérations en attente de rapprochement. Le NCSC souligne que ce rattrapage peut demander un travail considérable ; une transformation technique trop ambitieuse peut, elle aussi, allonger la reconstruction. 13

Chez M&S, rétablir les systèmes et retrouver des comptes fiables

Marks & Spencer donne une mesure documentée de la place prise par la récupération technique. Pour les 52 semaines closes le 28 mars 2026, le groupe déclare 131,3 millions de livres de coûts directement associés à la cyberattaque, dont 109,3 millions pour la réponse immédiate et la récupération des systèmes. Les résultats publiés le 20 mai permettent de calculer un reliquat de 22 millions, décrit comme des dépenses auprès de tiers, principalement pour des prestations juridiques et professionnelles spécialisées. Le document conserve cette qualification générale : la part propre aux avocats reste à déterminer. 18

La réponse et la récupération des systèmes représentent ainsi 83,2 % de cette catégorie de coûts directs, selon notre calcul. Le dénominateur est circonscrit : les conséquences de l’interruption sur les ventes et l’activité relèvent d’un autre périmètre. De même, les 109,3 millions regroupent un travail dont le partage entre ressources internes et prestataires externes demeure inconnu dans cette ventilation. Ces montants sont des charges reconnues sur l’exercice ; ils ne fournissent qu’un éclairage partiel sur la chronologie des paiements. 18

Le rapport annuel apporte un complément plus concret encore dans le texte de Deloitte, l’auditeur financier. La mise hors ligne des systèmes a accru le recours aux procédures manuelles, avant un retour progressif à l’automatisation. Pour vérifier les comptes, Deloitte indique avoir assisté à davantage d’inventaires physiques, examiné des commandes et des factures et obtenu directement des confirmations de soldes auprès de fournisseurs. Il a également testé des dépenses liées à l’incident pour vérifier leur caractère supplémentaire et directement attribuable. 5

Ces gestes donnent une dimension matérielle à la récupération. Un système remis en route doit retrouver la trace des marchandises, des achats et des obligations de paiement. Les preuves viennent alors des magasins, des documents commerciaux et des partenaires, autant que des applications. Les contrôles décrits par Deloitte appartiennent à l’audit financier ; leurs honoraires supplémentaires éventuels restent à isoler. L’auditeur conclut n’avoir identifié aucune anomalie significative résultant de l’incident, dans le cadre et avec les seuils de ses travaux. 5

Méthode et périmètre

La barre décompose les coûts directs reconnus par M&S pour les 52 semaines closes le 28 mars 2026. Le solde de 22,0 millions et la part de 83,2 % sont calculés ; le solde concerne des prestations de tiers, principalement juridiques et professionnelles spécialisées. La ventilation interne/externe des 109,3 millions reste inconnue. Le second panneau décrit des travaux de l’audit financier, sans leur attribuer de prix ni les affecter à une branche de la barre. Calculs, en millions de livres : 131,3 − 109,3 = 22,0 ; 109,3 ÷ 131,3 × 100 = 83,244… %, arrondi à 83,2 %. Le ratio porte uniquement sur les coûts directs reconnus par M&S pour ces 52 semaines.

Une partie du coût du redémarrage se comprend ainsi comme un travail de réconciliation : faire correspondre ce que l’organisation a continué à faire pendant la crise avec ce que ses systèmes peuvent désormais enregistrer et démontrer. Ce travail est peu spectaculaire, mais il conditionne la confiance que l’entreprise et ses partenaires accordent aux opérations suivantes. Il donne aussi une question précise à l’enquête : quels travaux sont compris dans les sommes publiées, et quelle preuve permet de considérer chacun comme achevé ?

Acheter une capacité de réponse avant la première intervention

Les rapports de victimes livrent des montants agrégés. Un barème de fournisseur permet de regarder comment une prestation est construite. Nous avons retenu l’offre publique de réponse à incident de NCC Group sur le dispositif britannique G-Cloud 14, avec ses conditions et sa définition de service, consultées le 19 octobre 2026. Il s’agit d’un tarif publié pour une offre déterminée, susceptible d’être précisé par le périmètre de mission. Sa lecture éclaire la structure d’un achat ; les factures et le contrat client permettraient d’établir les prix réellement appliqués. 8 9 10

La formule Bronze associe 9 500 livres d’engagement annuel (« retainer ») à un minimum de trois journées prépayées, à 2 200 livres chacune. L’addition donne un engagement minimal de 16 100 livres hors TVA. Le barème prévoit une entité juridique et des conditions tenant notamment à la taille de l’organisation et aux territoires couverts. L’intervention d’urgence sans engagement annuel préalable est également affichée à 2 200 livres par jour. 8

Le prix assemble deux choses qui ont chacune une utilité : préparer l’accès à une expertise et financer du temps de travail mobilisable. La définition du service évoque la connaissance préalable de l’environnement du client, le cadrage de l’intervention, l’accompagnement et le rapport final. Les conditions distinguent le montant annuel des heures prépayées et prévoient leur facturation à la signature, puis aux anniversaires ; le travail supplémentaire dépend du document fixant la mission. 9 10

Cette architecture aide à lire la promesse commerciale. Une disponibilité convenue permet d’organiser l’arrivée d’une équipe et le début de ses travaux. Le rétablissement d’un service dépend ensuite de ce qu’elle découvre, des données utilisables, des applications à remettre en état et des équipes avec lesquelles elle doit agir. Le contrat organise une capacité de réponse ; le programme de reprise doit convertir cette capacité en fonctions opérationnelles. 10 12

Méthode et périmètre

Un accès organisé, puis du travail décompté. Le Bronze NCC G-Cloud 14 associe 9 500 £ d’engagement annuel et au moins trois journées prépayées à 2 200 £ : le minimum arithmétique affiché atteint 16 100 £ hors TVA. La barre supérieure respecte ces proportions. Le circuit représente l’organisation contractuelle du travail, avec un stock initial de trois journées ; il ne simule aucune consommation observée. Le calendrier schématise une semaine ordinaire sans jour férié et la plage publiée de 9 h à 17 h 30 au Royaume-Uni. Le travail en dehors de cette plage, les week-ends et jours fériés porte le tarif journalier à 4 400 £. Périmètre, frais et prestations complémentaires restent à convenir. Calculs en livres hors TVA : 9 500 + 3 × 2 200 = 16 100 ; 2 × 2 200 = 4 400. Minimum d’engagement et taux journalier majoré, sans plafond de facture ni dépense observée chez une victime.

Le calendrier modifie aussi le prix. Le document NCC définit une plage normale du lundi au vendredi, de 9 heures à 17 h 30, heure britannique, et prévoit un tarif journalier doublé en dehors de cette plage, les week-ends et les jours fériés. Pour le taux Bronze, cela correspond à 4 400 livres la journée concernée, calculées à partir de 2 200. Les frais de déplacement et de séjour peuvent s’ajouter. La durée de la panne ne suffit donc jamais à reconstituer la facture : il faudrait connaître le temps réellement imputé, les qualifications, les intervenants et le périmètre accepté. 8

Les conditions types jointes à l’offre réservent les délais de réponse lorsqu’un événement à grande échelle touchant la majorité de ses clients de réponse à incident provoque, selon l’appréciation raisonnable de NCC, un afflux exceptionnel de demandes. Cette clause fait apparaître un risque de capacité collective dans un contrat individuel. Le dossier étudié ne documente aucun cas où NCC l’aurait invoquée ; il permet de poser la question de la disponibilité des spécialistes lorsque plusieurs clients en ont besoin simultanément. 9

NCC figure précisément dans le retour d’expérience de la British Library, qui indique avoir fait appel au cabinet dès la découverte de l’attaque, après consultation du NCSC. Ce rapprochement identifie un acteur et son offre publique ultérieure. Le montant de sa prestation pour la bibliothèque reste inconnu dans les pièces étudiées ; son contrat et ses factures seraient nécessaires pour établir le coût réel de cette intervention. 1 8

L’avocat, le négociateur et la valeur d’un déchiffreur

La présence de prestations juridiques dans la ventilation de M&S laisse leur objet précis à documenter. Une question distincte est celle du conseil lors d’une décision de paiement, abordée par le guide publié en mai 2024 par le NCSC avec des organisations britanniques de l’assurance. Celui-ci demande à une victime qui envisage un paiement de réunir les éléments opérationnels, financiers et juridiques pertinents. Il invite à consulter les spécialistes appropriés et à examiner les autres moyens de récupération. L’intervention des conseils consiste ici à rendre une décision aussi éclairée que possible dans une situation où les dommages continuent d’évoluer. 14

Le guide rappelle notamment qu’un outil de déchiffrement peut demander du temps pour être déployé dans un réseau complexe ; des sauvegardes peuvent parfois fournir une voie plus rapide. La possession d’une clé apporte une possibilité technique, dont l’utilité réelle dépend des systèmes et des données concernés. Elle laisse à traiter les autres dimensions de l’incident, dont les accès compromis et les conséquences d’une divulgation. 14

L’économie de ces prestations reste particulièrement difficile à reconstituer avec le corpus disponible. Il faudrait un mandat et sa rémunération pour établir le prix d’une négociation, puis des éléments vérifiables pour apprécier son résultat. Les documents sélectionnés ne donnent aucun honoraire individualisé de négociateur, aucune commission et aucun tarif juridique propre à JLR, M&S ou à la British Library. Le reliquat publié par M&S conserve donc son intitulé large de prestations de tiers, principalement juridiques et professionnelles spécialisées. 18

Ce degré de précision compte pour comprendre les intérêts en présence. Le versement éventuel aux criminels, la rémunération d’un conseil et les dépenses nécessaires pour retrouver un service correspondent à des flux différents. Leur appréciation demanderait de suivre qui décide, qui valide le travail et ce qui a été obtenu. Le guide NCSC fournit des critères de décision ; les montants agrégés des entreprises donnent seulement une partie des ressources engagées.

Reconstruire pendant que les services reviennent

À la British Library, le retour à l’usage s’est organisé autour de chantiers simultanés. Le programme approuvé par le conseil le 20 décembre 2023, décrit dans le postmortem de mars suivant, articule une réponse immédiate, une phase d’adaptation prévue sur six mois et un renouvellement prévu sur dix-huit mois. L’adaptation doit fournir des solutions intermédiaires ; le renouvellement doit établir une infrastructure et des applications durables. Les durées appartiennent à un plan historique, avec des phases explicitement concurrentes. 1

Cette organisation répond à une tension assez simple : chaque service provisoire peut rendre une partie de son utilité à l’institution, alors que les fondations dont dépend la solution définitive restent en chantier. Pour le lecteur, la question est celle de l’accès aujourd’hui. Pour les équipes, elle comprend aussi la migration qui permettra de maintenir cet accès demain. Mesurer la reprise demande donc de suivre des fonctions et leurs conditions d’usage, avec plusieurs dates possibles au sein d’un même établissement.

Les achats publics rendent une partie de cette reconstruction observable. Un marché Web Foundations est attribué à Q42 pour 396 908 livres hors TVA, avec une signature le 11 novembre 2024. Un autre marché, attribué le 20 novembre à Ex Libris UK, porte sur Alma, Primo et Rapido pour 2 659 973 livres, sur la période du 30 novembre 2024 au 29 novembre 2026. Les avis donnent des engagements contractuels et des prestataires identifiés ; les dépenses effectivement exécutées nécessiteraient les pièces de suivi correspondantes. La base de TVA du second montant n’est pas précisée dans le JSON officiel recueilli. 15 16

Ces engagements croisent une transformation déjà prévue. Le retour d’expérience et les comptes 2023/24 expliquent que la bibliothèque avait réservé des fonds pour renouveler ses équipements et applications, et que l’attaque a conduit l’institution à avancer une partie du programme prévu. Les comptes 2025/26 font ensuite état de 4,2 millions de livres d’investissements technologiques, contre 0,7 million l’exercice précédent, en reliant leur progression à la reconstruction. Cette catégorie couvre un ensemble de travaux et d’actifs ; son périmètre est plus large qu’une facture isolant le surcoût de l’attaque. 1 2 3

Le suivi des services apporte un autre éclairage sur ce qui a été obtenu. Un catalogue interrogeable revient dès le 15 janvier 2024. Le rapport annuel 2025/26 décrit ensuite le lancement d’une nouvelle plateforme en décembre 2025. Le 8 juillet 2026, la bibliothèque annonce le retour d’EThOS sous la forme de notices et de liens vers les dépôts universitaires : la plateforme offre à nouveau un chemin de recherche vers les thèses, avec un accès au texte intégral qui dépend des établissements concernés. Ces trois jalons décrivent des capacités différentes. 1 3 4

Méthode et périmètre

Deux lectures du temps de reconstruction. Le programme approuvé le 20 décembre 2023 et décrit le 8 mars 2024 organise trois chantiers concurrents : Respond, dont la durée reste non chiffrée ; Adapt, prévu sur six mois ; et Renew, sur dix-huit mois. Les deux barres partagent une origine graphique pour comparer les durées annoncées, dans un rapport exact de un à trois. La chronologie inférieure utilise une échelle calendaire linéaire et des jalons documentés : catalogue consultable le 15 janvier 2024, nouveau catalogue principal en décembre 2025, annonce du retour d’EThOS le 8 juillet 2026 avec notices et liens vers les dépôts universitaires. La bande de décembre couvre le mois entier. Chaque jalon concerne son propre périmètre de service ; EThOS héberge des notices et renvoie vers les fichiers disponibles ailleurs.

La durée devient ainsi plus intelligible que dans un indicateur global de disponibilité. On peut rechercher une référence avant de retrouver tous les moyens de la commander ou de la consulter. On peut moderniser une application tout en maintenant un outil provisoire à côté. Pour apprécier le résultat d’un programme, le rapprochement utile relie les sommes engagées aux fonctions effectivement revenues, à leurs limites et au travail encore nécessaire.

Chez JLR, le travail continue après la charge exceptionnelle

Le dossier JLR ramène cette distinction au fil principal de la série. Pour l’exercice clos le 31 mars 2026, le constructeur publie 260 millions de livres de charges exceptionnelles liées à l’incident. La note inclut des réclamations et obligations envers des tiers ainsi que des honoraires professionnels. Les dépenses récurrentes de renforcement informatique et cyber, comme les effets indirects sur la performance, relèvent d’un autre traitement. Cette ventilation interdit d’assimiler les 260 millions à la rémunération des équipes de réponse. 6

Le rapport trimestriel publié le 13 août 2026 fournit un indice supplémentaire : il décrit une investigation, une récupération et une remédiation toujours en cours, accompagnées de travaux pour renforcer la résilience. Sa note comptable indique pourtant zéro élément exceptionnel pour les trois mois clos le 30 juin. Ces deux informations sont compatibles, parce que la catégorie financière et l’avancement opérationnel répondent à des questions différentes. Le document atteste la poursuite du travail sans en isoler le budget ultérieur. 7

Pour l’enquête, l’absence de nouvelle charge exceptionnelle sur ce trimestre fournit donc un jalon de publication comptable. La clôture du chantier exigerait d’autres preuves : fonctions rétablies, dépendances vérifiées, données temporaires réintégrées et capacité à maintenir l’activité dans la durée. Ce sont les résultats que les recommandations de reprise du NCSC invitent à organiser et à tester. 12 13

Le sujet dépasse désormais les victimes dont nous avons parcouru les documents. Dans son discours de Mansion House du 14 juillet 2026, Andrew Bailey, gouverneur de la Banque d’Angleterre, appelle à renforcer fortement la capacité de récupération et évoque la reconstruction des systèmes depuis une base neuve, dite bare metal recovery. Il formule une orientation pour la résilience ; ce discours, à lui seul, n’établit aucune nouvelle obligation réglementaire. 17

Les dossiers de la British Library et de M&S donnent un contenu concret à cette ambition : assembler à nouveau des services utilisables et rétablir la confiance dans leurs opérations. Les spécialistes, les équipes internes et les partenaires y apportent des compétences dont les documents montrent l’utilité, sans permettre de mesurer le rendement de chaque dépense. La question à adresser aux acheteurs et aux prestataires devient alors précise : quel travail a été payé, quelle fonction a-t-il rendue possible, et sur quelles preuves la reprise a-t-elle été validée ?

Méthode et portée

Cette enquête documentaire est arrêtée au 19 octobre 2026. Elle repose sur dix-huit références primaires sélectionnées : comptes et rapports d’audit, retour d’expérience de la British Library, annonces de services, avis de marchés publics, documentation commerciale, recommandations du NCSC et discours de la Banque d’Angleterre. Les déclarations des organisations sont attribuées à leurs auteurs ; les conclusions de l’auditeur sont présentées avec leur portée propre.

Les calculs sont limités à la ventilation M&S et aux opérations explicitement tirées du barème NCC. Leurs formules et leurs dénominateurs figurent sous les graphiques et dans les notices 8 et 18. Les dates de publication, les périodes comptables et les jalons d’usage sont distingués. Les contrats attribués, les charges reconnues et les investissements restent dans leur périmètre, sans total reconstruit entre victimes. Aucun entretien ni échange contradictoire n’a été réalisé pour cette livraison.

Les notices ci-dessous donnent les références, les localisateurs et les limites des documents effectivement consultés. Les formules sont publiées dans cette page ; les originaux de tiers restent accessibles auprès de leurs éditeurs.

Prolonger la lecture

Le sixième volet, sur les prestataires communs, suit les interruptions de CDK et de Synnovis jusque dans les opérations de leurs clients.

Le volet 4 sur l’empreinte de JLR dans le PIB distingue production, pertes financières et effort de reprise. Le volet sur la cyberassurance suit le passage d’une perte à une indemnité. Le glossaire précise le fonctionnement minimum viable, les contrats de disponibilité et la disponibilité d’un service.

Sources

Les appels numérotés renvoient aux documents ci-dessous. Consultation : 19 octobre 2026.

1. [1] British Library · Learning lessons from the cyber-attack: British Library cyber incident review · 2024-03-08. PDF pp.2 et 4 : copies conservées, infrastructure indisponible et intervention NCC ; pp.9, 12–16 : logiciels, phases parallèles, renouvellement prévu dès 2022 et architecture visée. La bibliothèque décrit pourquoi des copies sûres ne suffisaient pas à remettre ses services en route et expose son programme Rebuild & Renew. Retour d’expérience de l’institution victime. Architecture et durées décrites en mars 2024 comme intentions ; phases concurrentes. Honoraires NCC non publiés.
2. [2] British Library / GOV.UK · Annual Report and Accounts 2023–2024 · 2024-07-29. Pages imprimées 34, 38 et 45 (PDF 35, 39 et 46) : budgets accélérés, calendrier envisagé et coûts supplémentaires au 31 mars 2024. Le rapport distingue £0,6m de coûts directement supplémentaires et l’accélération de dépenses numériques déjà prévues ; il envisage alors des travaux jusqu’en juillet 2025. Montant étroit à la première clôture suivant l’attaque. Dépenses reportées et budgets sous-consommés ne mesurent pas un gain économique. Juillet 2025 était une cible.
3. [3] British Library / GOV.UK · Annual Report and Accounts 2025–2026 · 2026-07-15. Pages imprimées 4, 7, 11, 33–34, 43 et 76 (PDF 6, 9, 13, 35–36, 45 et 78). Le rapport décrit la plateforme lancée en décembre 2025, des services progressivement rétablis et £4,2m d’investissements technologiques contre £0,7m l’exercice précédent. La catégorie d’investissement dépasse le seul surcoût de l’attaque. Le récit inclut des développements postérieurs au 31 mars 2026 ; la reprise du catalogue ne clôt pas celle de tous les services.
4. [4] British Library · EThOS platform restored · 2026-07-08. How to use EThOS ; FAQ sur les métadonnées, liens universitaires, disponibilité du texte intégral et fréquence de mise à jour. EThOS revient avec plus de 650 000 notices ; près de 65 % renvoient vers des dépôts universitaires. La plateforme décrit aussi les flux et le retard de mise à jour. Le contenu et les chiffres de la page sont ceux vérifiés le 19 octobre 2026 ; le 8 juillet est sa date de publication. Notices bibliographiques et liens, distincts de fichiers intégraux hébergés sur place. Pourcentage arrondi ; l’accès dépend du dépôt destinataire. Révision éventuelle de la page non datée.
5. [5] Marks and Spencer Group plc ; rapport indépendant Deloitte LLP · Annual Report and Financial Statements 2026 · 2026-06-01. Rapport de l’auditeur, pages imprimées 101–102 et 104 (PDF 103–104 et 106) ; note 5 p.132 (PDF 134). Deloitte décrit les procédures manuelles, contrôles complémentaires, rapprochements fournisseurs et tests des coûts directement liés à l’incident. Contrôle financier indépendant par sondages, avec ses seuils et limites. Aucune anomalie significative liée à l’incident identifiée ; cette conclusion ne certifie pas chaque facture technique.
6. [6] Jaguar Land Rover Automotive plc ; rapport indépendant KPMG LLP · JLR Annual Report FY25/26 · 2026-05-21. Note 4, page imprimée 177 (PDF 89 droite) ; audit imprimé pp.155–156 (PDF 78–79) ; index GRI pour la date de publication. GRI 2-3, p.240 imprimée (PDF p.121 gauche) : date de publication indiquée au 21 mai 2026. JLR classe £260m de charges cyber en exceptionnel, incluant obligations envers des tiers et honoraires, et explique les dépenses qui restent sous-jacentes. Périmètre de charges, distinct d’un total payé aux experts ou du dommage économique. Les £58m d’autres dépenses et £202m de coûts des ventes ne ventilent pas les honoraires. Le chemin du 16 juillet et le paramètre VersionId identifient la version consultée.
7. [7] Jaguar Land Rover Automotive plc · JLR Q1 FY27 interim financial statements / narrative reporting · 2026-08-13. PDF p.9, Risks and mitigating factors ; p.18, note 4 ; communiqué complémentaire daté du 13 août 2026. Le rapport publié en août décrit une enquête, récupération et remédiation toujours en cours ; aucun élément exceptionnel n’est reconnu sur avril–juin. La déclaration figure dans un document publié en août, alors que les comptes couvrent le trimestre clos en juin. Zéro exceptionnel ne signifie pas zéro dépense de récupération.
8. [8] NCC Group / UK Digital Marketplace · G-Cloud 14 : Pricing Document, Cyber Incident Response · G-Cloud 14, première date de publication non établie. PDF p.2, tarifs et minimums prépayés ; p.3, périmètre, livres hors TVA et majoration hors horaires. Le barème associe disponibilité annuelle et journées prépayées ; Bronze affiche £9 500 plus au moins trois journées à £2 200. Calculs en livres hors TVA : 9 500 + 3 × 2 200 = 16 100 ; 2 × 2 200 = 4 400. Minimum d’engagement et taux journalier majoré, sans plafond de facture ni dépense observée chez une victime. Prix de catalogue, sans contrat signé ni attribution à une victime. Première publication exacte inconnue ; document lié à G-Cloud 14. Le total calculé £16 100 HT n’est pas un plafond de facture.
9. [9] NCC Group / UK Digital Marketplace · NCC Group Terms and Conditions for the Supply of Services (UK) · G-Cloud 14, première date de publication non établie. Module Retained Incident Response, PDF pp.12–15 : définitions, clause 5.9, clauses 8.2–8.6 et annexe 1. Le modèle distingue frais de disponibilité, heures prépayées, réaffectation limitée des heures et réserve de capacité en cas d’afflux exceptionnel. Prise d’effet imprimée du 1er février 2022 ; première publication indéterminée. Conditions types soumises au contrat client. Aucune activation de la clause d’afflux ni délai réel de restauration démontré. Les conditions portent la date de prise d’effet du 1er février 2022 ; leur publication initiale reste indéterminée.
10. [10] NCC Group / UK Digital Marketplace · G-Cloud 14 : Retained Cyber Emergency Incident Response, service definition · G-Cloud 14, première date de publication non établie. PDF p.2, accès aux spécialistes et prestations possibles ; p.3, cadrage, préparation, disponibilité, intervention et clôture. NCC décrit un service préparé avant la crise, des interlocuteurs spécialisés et un travail de clôture après l’intervention. Description commerciale ; l’accès à des juristes ou spécialistes de crise ne prouve pas que leurs prestations sont toutes incluses au forfait de base. Efficacité indépendante non mesurée.
11. [11] UK National Cyber Security Centre · Recovering from a highly disruptive cyber attack : 1. Immediate activities · 2026-07-28. Sections 1.1–1.2 : gouvernance et investigation ; 1.4 : priorités, dépendances et sauvegardes ; 1.5–1.8 : obligations et communications. Le NCSC recommande d’éclairer la remise en service par l’analyse de la compromission, les dépendances métier et les obligations de l’organisation. Recommandation institutionnelle générale ; elle ne décrit pas les opérations effectivement menées chez JLR, M&S ou British Library. Page revue le 1er octobre 2026.
12. [12] UK National Cyber Security Centre · Recovering from a highly disruptive cyber attack : 2. Recovery and ongoing investigations · 2026-07-28. Sections 2.1 et 2.2.1–2.2.3 : opérations minimales, investigation, fonctions métier et dépendances ; 2.2.8–2.2.10 : juridique, RH et achats. Le guide organise la reprise en chantiers parallèles et décrit les vérifications que des tiers peuvent demander avant de rétablir leurs connexions. Cadre de décision, sans durée moyenne statistique ni résultat garanti. Les exigences de tiers sont une possibilité décrite, pas une cause chiffrée des retards d’une victime. Page revue le 1er octobre 2026.
13. [13] UK National Cyber Security Centre · Recovering from a highly disruptive cyber attack : 3. Rebuild · 2026-07-28. Introduction ; sections 3.2–3.2.1 sur les améliorations et leur financement récurrent ; 3.3 sur le rapprochement des données. La reconstruction durable dépasse le fonctionnement minimum et suppose de réconcilier les sauvegardes avec les données des procédures provisoires. Le NCSC avertit qu’une transformation trop large peut alourdir la reprise. Ce cadre ne ventile pas les dépenses réelles entre réparation et modernisation. Page revue le 1er octobre 2026.
14. [14] UK National Cyber Security Centre, avec ABI, BIBA et IUA · Guidance for organisations considering payment in ransomware incidents · 2024-05-14. Consult experts ; Assess the impact ; Investigate the root cause ; passage sur les délais des outils de déchiffrement et des sauvegardes. Le guide situe une éventuelle négociation dans une décision plus large et explique qu’un déchiffreur peut nécessiter du temps sur un réseau complexe. La sauvegarde peut parfois être plus rapide ; aucune supériorité universelle ni rançon payée par les cas étudiés n’est déduite. Le guide ne chiffre aucune mission individuelle.
15. [15] British Library / Find a Tender, Cabinet Office · 002434 British Library Web Foundations Project : award notice 038013-2024 · 2024-11-25. Avis 038013-2024, II.1.7 et II.2 ; JSON officiel : contracts[0].value/dateSigned, tender.lots[0].description, awards[0].suppliers ; JSON Contracts Finder complémentaire. Le marché attribué à Q42, £396 908, remplace le site provisoire et prépare des intégrations ultérieures, sur un chantier amorcé avant l’attaque. Valeur contractuelle, distincte des paiements et du surcoût imputable à l’attaque. Le même marché apparaît dans deux registres. Le champ isolé de lot “cancelled” contredit les statuts de contrat et d’attribution actifs. Données officielles du marché.
16. [16] British Library / Contracts Finder · Supply of Library Management Systems & Associated Services : award 002498 · 2024-12-11. JSON de l’avis publié : notice.description/publishedDate ; awards[0].value, supplierName, awardedDate, startDate et endDate. L’avis attribue à Ex Libris (UK) Limited la fourniture et mise en œuvre d’Alma, Primo et Rapido pour £2 659 973. Base TVA non explicite dans le JSON. Valeur attribuée, sans échéancier des paiements ni ventilation réparation/licences/modernisation ; le programme de plateforme préexistait à l’attaque. Données officielles de l’attribution.
17. [17] Bank of England · Growth and regulation : speech by Andrew Bailey · 2026-07-14. Fin du discours, volet sur l’IA avancée : coordination des tests et paragraphe introduisant la récupération Bare Metal. À Mansion House, Andrew Bailey appelle à renforcer la capacité de reconstruire des systèmes jusqu’à un état pleinement opérationnel. Position exprimée dans un discours, sans nouvelle obligation juridique ni budget de reconstruction chiffré. Elle ne constate pas l’état de préparation des trois victimes étudiées.
18. [18] Marks and Spencer Group plc · Full Year Results for the 52 Weeks Ended 28 March 2026 · 2026-05-20. PDF p.20 et note 3 p.37 : £131,3m de coûts directs dont £109,3m systèmes ; p.19 et note 2 p.34 : assurance. M&S détaille réponse immédiate et récupération des systèmes, puis frais de tiers surtout juridiques et professionnels. Le reliquat de £22m est calculé par différence. Calculs, en millions de livres : 131,3 − 109,3 = 22,0 ; 109,3 ÷ 131,3 × 100 = 83,244… %, arrondi à 83,2 %. Le ratio porte uniquement sur les coûts directs reconnus par M&S pour ces 52 semaines. Charges reconnues, distinctes de décaissements. £22m ne désigne pas les seuls avocats et £109,3m les seuls consultants externes. Les £100m d’assurance couvrent un périmètre distinct.

Textes et illustrations originales : l0g · CC BY 4.0. Les documents cités conservent les droits de leurs éditeurs.