Cybersécurité maritime et portuaire.

Récemment, un chercheur écrivait de moi, derrière le paywall d’un article scientifique, sans m’avoir consulté ni proposé un droit de réponse, que lorsque je m’exprimais, c’était pour évoquer la résilience du secteur maritime et soutenir que des attaques y sont impossibles. Pour quelqu’un qui travaille sur le sujet depuis plus de 25 ans, qui a créé ce blog en 2017 (quand la cyber maritime était encore un non-sujet), qui a constitué la première base mondiale d’incidents de cybersécurité maritime il y a plus de cinq ans, et qui en décrit une partie ici, je pense que vous trouverez cela aussi cocasse que moi.

À ces chercheurs, si vous avez un minimum d’éthique et de considération, laissez-moi seulement la liberté de ne pas vouloir souffler sur les braises lorsqu’un incident survient et d’éviter dans ces cas-là, par modestie ou par éthique, de recourir systématiquement au « je vous l’avais dit » ou au « si vous avez besoin de moi, je suis là ».

Un méthanier chargé de gaz naturel liquéfié (GNL) américain est toujours à la recherche de solutions pour sa cargaison, un mois après avoir quitté la Louisiane. Il a renoncé au terminal de l’Adriatique, puis à Barcelone, et fait maintenant route vers Gibraltar. Son équipage a signalé début septembre une perte d’accès à des systèmes du bord. C’est le troisième navire en un mois dont l’équipage soupçonne une cyberattaque. Les garde-côtes italiens décrivent une panne dont la cause n’a pas pu être déterminée. Trois publications successives, de plus en plus précises, parlent d’une cyberattaque, et aucune ne vient d’une partie ayant accès au navire.

Marlink a publié le 15 avril 2026 trois rapports de renseignement sur la menace cyber [1], fondés sur l’activité 2025 de ses centres opérationnels de sécurité (Security Operations Center, SOC) ainsi que sur plus de 200 évaluations de sécurité. Le fournisseur de connectivité satellitaire dispose d’un point d’observation rare : la télémétrie directe des navires en exploitation. Ces documents contiennent donc des données de terrain originales à analyser pour nous qui nous situons généralement de l’autre coté (enfin, souvent), c’est-à-dire à attendre que l’attaquant communique et, globalement, à veiller les mêmes sources.

La cybersécurité d’un chantier naval de défense se joue aussi bien dans le bureau d’études le mieux gardé que chez un sous-traitant de rang deux, sur le poste personnel d’un ingénieur en télétravail ou dans le compte d’un partenaire industriel oublié sur un portail d’échange. Les incidents des dix dernières années le montrent avec régularité, et ils permettent de mettre des chiffres sur ce front industriel, celui dont on parle le moins quand on parle du naval et de cybersécurité.

Les chiffres qui suivent viennent de mon propre jeu de données de recherche sur les incidents cyber maritimes, constitué pendant mes travaux de doctorat et entretenu depuis avec mes propres moyens. Il compte plus de 4 000 incidents, dont j’ai dressé le bilan 2025 il y a quelques semaines ; un peu plus de 500 d’entre eux touchent un chantier naval (civil ou militaire), un équipementier de défense ou une marine. Pour mémoire, comme je le répète à chaque fois, ces 500 fiches sont ce que la presse et les attaquants eux-mêmes ont rendu public, avec un biais massif dans un sens connu : un déni de service distribué (Distributed Denial of Service, DDoS) revendiqué se collecte à la chaîne, une intrusion étatique se sait des années plus tard, quand elle se sait, etc.

Le 15 septembre 2026, les garde-côtes américains ont reconnu qu’une équipe cyber fédérale était montée à bord d’un pétrolier en route vers le Texas. Le lendemain, on apprend de plusieurs sources que deux navires auraient été concernés, puis que près de vingt navires de commerce faisaient l’objet d’une surveillance particulière. L’affaire avait commencé un mois plus tôt, par un récit publié à Téhéran.

En tant que lecteur fidèle et régulier de ce blog, vous recevez peut-être des propositions régulières de diagnostics de sécurité gratuits (ou pas) sur votre « exposition publique ». Les rapports vous alerteront probablement sur le fait que vos « entrées DNS » ne sont pas bonnes et présentent un risque pour vous. Ces diagnostics, vous pouvez bien entendu les faire par vous-mêmes. Ils sont réalisables d’ailleurs facilement et gratuitement sur Internet, et encore plus facilement pour ces entreprises avec l’arrivée de l’IA, car ils sont générés automatiquement à partir de données publiques. J’avais consacré un article en avril à ce que valent ces audits de surface et à ce que la divulgation coordonnée exige de celui qui les mène. Dans cet article, je vais essayer de démystifier un peu ces acronymes, et vous donner des pistes pour mieux comprendre leur intérêt. Pour les experts en cybersécurité parmi vous, vous m’excuserez de simplifier parfois les choses, chaque standard derrière regroupant à lui seul souvent des dizaines de pages de spécifications et de complexité.

Mais n’oubliez jamais. Derrière une vulnérabilité potentielle, il faut mesurer un risque. Parce qu’une liste de vulnérabilités sans évaluation des risques conduit à traiter en premier ce qui compte… le moins (pour vous).