ACRO : l'ICO sanctionne le bureau des casiers judiciaires britannique pour deux ans de négligence sur les correctifs

Entre août 2022 et mars 2023, un pirate a pénétré le site et le CMS d'ACRO, l'organisme britannique chargé des vérifications de casier judiciaire. Verdict de l'Information Commissioner's Office (ICO) rendu public le 13 août 2026 : un défaut de gestion des correctifs et une absence de suivi des alertes de sécurité, deux failles élémentaires qui ont exposé plus de 10 000 personnes, dont des victimes de violences domestiques.

Ce qui s'est passé

ACRO (Criminal Records Office) délivre notamment les certificats de protection internationale de l'enfance et traite les demandes de casier judiciaire pour des usages sensibles — emploi, visa, adoption. Le régulateur britannique a établi que le prestataire infogéreur d'ACRO patchait le système d'exploitation mais pas le CMS Kentico, tandis que le prestataire en charge du développement web n'avait pas la responsabilité d'identifier quand un correctif était nécessaire. Résultat : personne, chez ACRO, ne surveillait les mises à jour de sécurité de son propre site.

Deuxième défaillance relevée par l'ICO : une solution Trend Micro générait bien des alertes de détection de logiciels malveillants, mais elles n'étaient « ni examinées ni suivies d'effet ». Les données exposées incluent noms, dates de naissance, adresses, numéros de sécurité sociale (National Insurance), données de passeport et de permis de conduire, coordonnées bancaires, données biométriques et informations relatives à des infractions pénales — une catégorie de données particulièrement sensible au sens de l'article 9 du RGPD.

La tenue défaillante des journaux et registres d'ACRO ne permet même pas de confirmer, plus de trois ans après les faits, si les données ont réellement été exfiltrées.

Pourquoi c'est important

L'ICO ne prononce ici qu'un rappel à l'ordre — sans amende — en raison de sa politique de modération financière envers le secteur public et parce qu'ACRO disposait d'une segmentation réseau qui a limité la propagation de l'attaque. Mais le raisonnement du régulateur cible très précisément deux piliers de l'article 32 du RGPD sur la sécurité du traitement : la gestion des correctifs et la surveillance active des alertes. Deux mesures qui ne relèvent pas d'un budget cybersécurité conséquent, mais d'une organisation claire des responsabilités — exactement ce que le principe d'accountability exige du responsable de traitement.

Le cas ACRO illustre un angle mort classique : une chaîne de sous-traitance où chacun patche « sa » couche technique sans qu'aucun acteur n'ait explicitement la responsabilité de vérifier que l'ensemble est à jour. Le contrat de sous-traitance doit désigner sans ambiguïté qui patche quoi, et le responsable de traitement reste tenu de s'assurer que cette chaîne fonctionne réellement — il ne peut pas se défausser sur son infogéreur.

Ce que ça change pour les organisations

Trois actions concrètes ressortent de la décision de l'ICO, transposables pour tout DPO ou RSSI :

Cartographier qui patche quoi. Dans une chaîne de sous-traitants (hébergeur, infogéreur, agence web), formaliser par écrit qui est responsable de l'identification des correctifs disponibles et qui est responsable de leur application — sur chaque couche technique (OS, CMS, plugins, dépendances applicatives).

Faire vivre les outils de détection. Une solution antimalware qui génère des alertes non traitées équivaut, aux yeux du régulateur, à une absence de mesure de sécurité. Un SLA de traitement des alertes, même sommaire, doit être documenté.

Tenir un registre exploitable en cas d'incident. ACRO n'a pas pu déterminer si les données avaient été exfiltrées faute de journalisation suffisante — ce qui complique à la fois la notification à l'autorité au titre de l'article 33 et l'évaluation du risque pour les personnes concernées. Le guide Leto sur la gestion d'une violation de données détaille les réflexes à avoir dans les premières heures pour éviter cet écueil.

Ce que Leto pense de cette décision

Ce dossier a le mérite de la clarté : pas de faille zero-day sophistiquée, pas d'attaque étatique — juste deux processus de base laissés sans propriétaire. C'est précisément le type de manquement que la plupart des organisations, y compris les plus petites structures, peuvent corriger à coût quasi nul en clarifiant simplement les responsabilités contractuelles avec leurs prestataires. L'absence de sanction financière ne doit pas être lue comme une indulgence : pour un organisme privé sans le statut protecteur du secteur public britannique, un dossier aux faits identiques se solderait probablement par une amende conséquente au vu de la nature des données en cause.

Sources : Infosecurity Magazine, « ICO Reprimands Criminal Records Office After 2023 Breach », 13 août 2026 — ICO, reprimand ACRO (PDF)