Cybersécurité maritime et portuaire.

Au 15 octobre 2026, mon jeu de données d’incidentologie cyber maritime, que j’ai constitué depuis plus de six ans, compte 4 622 incidents datés de 2012 à aujourd’hui. Pour voir comment il s’est formé, j’ai fait tourner Gource, un outil libre conçu pour animer l’historique d’un dépôt de code, sur les fiches elles-mêmes.

Chaque point est un incident, placé à la date où il s’est produit et coloré selon son type, dont le déni de service (Denial of Service, DoS) et les rançongiciels. La légende en bas à droite donne les couleurs. Les silhouettes qui circulent représentent la catégorie d’origine, hacktivisme ou cybercriminalité par exemple. Aucun nom de groupe ni de victime n’apparaît.

Depuis le début de l’année, plus d’une trentaine de cibles françaises du secteur maritime ont été revendiquées par NoName057(16), un groupe hacktiviste prorusse (j’avais décrit son action contre un port roumain) qui mène des attaques par déni de service distribué (DDoS, Distributed Denial of Service) avec l’outil DDoSia. Quatre datent de mai et de juin, une quinzaine en juillet et autant en octobre.

Je ne nomme pas les organisations pour une raison simple : une revendication est une intention d’attaque, et seule une mesure établit une panne… Quant au name and shame systématique, c’est une manière de faire de certains, assez rarement la mienne.

Le 12 octobre 2026, entre 13 h 53 et 14 h 16 UTC, le site de fuite d’un groupe cybercriminel récent, se faisant appeler n0n, a listé 38 organisations [1] [2]. Chaque fiche porte la mention « non payé ». Ces listes reposent sur la seule revendication du groupe, qu’aucune victime n’a confirmée à ma connaissance. Parmi ces 38 organisations citées, 34 appartiennent au transport maritime, aux ports et aux terminaux.

Au 15 octobre 2026, mon jeu de données d’incidentologie cyber maritime compte d’ores et déjà 1 397 incidents pour l’année 2026. L’année 2025 entière en compte 1 352. À la même date, en 2025, nous en étions à 1 040, soit un écart de 34 %.

Pourtant, le premier semestre s’annonçait assez comparable à 2025. De janvier à juin 2026, 617 évènements pouvaient être relevés, pour 649 sur la même période en 2025. Le retournement a lieu en juillet. De juillet à septembre 2026, le jeu de données enregistre 653 évènements, dont… 261 pour le seul mois d’août contre 112 l’année dernière (ah… pauvres RSSI qui n’ont jamais de vacances).

Le 12 octobre 2026 (après de nombreuses alertes, relais presse et j’en passe), le CERT-FR a publié, à froid, une alerte sur de « nombreuses compromissions » de contrôleurs à distance d’installations de réfrigération. Elle visait d’abord des Danfoss AK-SC et AK-SM, et une mise à jour du 13 octobre y a ajouté des contrôleurs Copeland xweb et des Dixell xweb [1]. Les attaques datent de la nuit du 11 au 12 octobre (les attaques la nuit, et le w.e., c’est bien la forme la plus nuisible). L’alerte désigne - ô surprise - des interfaces d’administration exposées directement sur Internet. L’alerte du CERT-FR demande (ce que l’ANSSI recommande depuis des années) de retirer l’exposition, de n’accéder aux équipements que par un VPN (Virtual Private Network, réseau privé virtuel) ou un réseau protégé, de mettre à jour les équipements (bon, souvent en fin de vie…) et de changer les mots de passe par défaut.

Récemment, un chercheur écrivait de moi, derrière le paywall d’un article scientifique, sans m’avoir consulté ni proposé un droit de réponse, que lorsque je m’exprimais, c’était pour évoquer la résilience du secteur maritime et soutenir que des attaques y sont impossibles. Pour quelqu’un qui travaille sur le sujet depuis plus de 25 ans, qui a créé ce blog en 2017 (quand la cyber maritime était encore un non-sujet), qui a constitué la première base mondiale d’incidents de cybersécurité maritime il y a plus de cinq ans, et qui en décrit une partie ici, je pense que vous trouverez cela aussi cocasse que moi.

À ces chercheurs, si vous avez un minimum d’éthique et de considération, laissez-moi seulement la liberté de ne pas vouloir souffler sur les braises lorsqu’un incident survient et d’éviter dans ces cas-là, par modestie ou par éthique, de recourir systématiquement au « je vous l’avais dit » ou au « si vous avez besoin de moi, je suis là ».