Une attaque par rançongiciel a mis hors ligne le réseau de distributeurs de billets de Northern, d'un coût de 17 millions de livres, deux mois après son installation

En juillet 2021, Northern — la compagnie ferroviaire du nord de l'Angleterre exploitée par l'État — a confirmé que son tout nouveau parc de distributeurs de billets en libre-service avait été mis hors ligne par une cyberattaque par rançongiciel présumée. Le système était hors service depuis la semaine précédente, une enquête étant en cours avec le fournisseur Flowbird.

Le moment était brutal : seulement deux mois plus tôt, Northern avait installé 621 bornes à écran tactile dans 420 gares pour un coût de 17 millions de livres. L'exploitant a déclaré avoir pris des « mesures rapides » avec Flowbird, que seuls les serveurs exploitant les machines avaient été touchés et que les données des clients et de paiement n'avaient pas été compromises. Flowbird a indiqué que sa surveillance cyber avait identifié le problème en premier et qu'elle avait déclenché une procédure d'incident majeur pour protéger le reste du réseau.

Les clients ont été invités à acheter leurs billets à l'avance sur l'application ou le site web et à les retirer aux guichets, ou à monter dans les services réservés et à s'adresser aux contrôleurs — des solutions de contournement qui reportaient la charge sur le personnel et le papier. Northern s'est excusé pour « toute gêne » et a déclaré travailler à rétablir un fonctionnement normal dès que possible.

L'incident est survenu alors que l'exploitant était déjà sous mesures spéciales : Northern avait été reprise par l'État en 2020 après une série de problèmes, dont un changement d'horaires ayant entraîné de vastes retards et annulations.

Le réseau de machines de 17 millions de livres hors ligne ; billetterie en libre-service suspendue dans 420 gares du nord de l'Angleterre ; aucun chiffre de perte de revenus divulgué

Le déploiement de 17 millions de livres a créé 621 points de contact identiques et connectés en réseau d'un seul coup — une amélioration du confort et une seule grande surface d'attaque déployées simultanément.

Les machines reposaient sur une infrastructure serveur distincte des systèmes ferroviaires centraux, ce qui a limité la portée de l'incident mais signifiait aussi que l'investissement phare était précisément l'élément qui s'est éteint.

Cela s'ajoutait à l'histoire récente de l'exploitant : reprise par l'État en 2020 après le chaos des horaires, et désormais une défaillance cyber très médiatisée sur une modernisation emblématique.

Une nouvelle infrastructure est particulièrement exposée durant ses premiers mois : un parc récent et uniforme de machines connectées constitue une cible unique, de sorte que la réponse aux incidents doit être livrée en même temps que le déploiement.

Au moment du rapport de juillet 2021, l'enquête avec Flowbird était en cours, le réseau de machines étant hors ligne et aucune date de rétablissement n'ayant été donnée. Northern a déclaré que le fonctionnement normal reprendrait « dès que possible » ; aucun chiffre n'a jamais été publié sur la durée de l'indisponibilité ou les revenus perdus.