Cybersécurité maritime et portuaire.

Un méthanier chargé de gaz naturel liquéfié (GNL) américain est toujours à la recherche de solutions au large de Barcelone, sa cargaison encore à bord, un mois après avoir quitté la Louisiane. Son équipage a signalé début septembre une perte d’accès à des systèmes du bord. C’est le troisième navire en un mois dont l’équipage soupçonne une cyberattaque. Les garde-côtes italiens décrivent une panne dont la cause n’a pas pu être déterminée. Trois publications successives, de plus en plus précises, parlent d’une cyberattaque, et aucune ne vient d’une partie ayant accès au navire.

Marlink a publié le 15 avril 2026 trois rapports de renseignement sur la menace cyber [1], fondés sur l’activité 2025 de ses centres opérationnels de sécurité (Security Operations Center, SOC) ainsi que sur plus de 200 évaluations de sécurité. Le fournisseur de connectivité satellitaire dispose d’un point d’observation rare : la télémétrie directe des navires en exploitation. Ces documents contiennent donc des données de terrain originales à analyser pour nous qui nous situons généralement de l’autre coté (enfin, souvent), c’est-à-dire à attendre que l’attaquant communique et, globalement, à veiller les mêmes sources.

La cybersécurité d’un chantier naval de défense se joue aussi bien dans le bureau d’études le mieux gardé que chez un sous-traitant de rang deux, sur le poste personnel d’un ingénieur en télétravail ou dans le compte d’un partenaire industriel oublié sur un portail d’échange. Les incidents des dix dernières années le montrent avec régularité, et ils permettent de mettre des chiffres sur ce front industriel, celui dont on parle le moins quand on parle du naval et de cybersécurité.

Les chiffres qui suivent viennent de mon propre jeu de données de recherche sur les incidents cyber maritimes, constitué pendant mes travaux de doctorat et entretenu depuis avec mes propres moyens. Il compte plus de 4 000 incidents, dont j’ai dressé le bilan 2025 il y a quelques semaines ; un peu plus de 500 d’entre eux touchent un chantier naval (civil ou militaire), un équipementier de défense ou une marine. Pour mémoire, comme je le répète à chaque fois, ces 500 fiches sont ce que la presse et les attaquants eux-mêmes ont rendu public, avec un biais massif dans un sens connu : un déni de service distribué (Distributed Denial of Service, DDoS) revendiqué se collecte à la chaîne, une intrusion étatique se sait des années plus tard, quand elle se sait, etc.

Le 15 septembre 2026, les garde-côtes américains ont reconnu qu’une équipe cyber fédérale était montée à bord d’un pétrolier en route vers le Texas. Le lendemain, on apprend de plusieurs sources que deux navires auraient été concernés, puis que près de vingt navires de commerce faisaient l’objet d’une surveillance particulière. L’affaire avait commencé un mois plus tôt, par un récit publié à Téhéran.

En tant que lecteur fidèle et régulier de ce blog, vous recevez peut-être des propositions régulières de diagnostics de sécurité gratuits (ou pas) sur votre « exposition publique ». Les rapports vous alerteront probablement sur le fait que vos « entrées DNS » ne sont pas bonnes et présentent un risque pour vous. Ces diagnostics, vous pouvez bien entendu les faire par vous-mêmes. Ils sont réalisables d’ailleurs facilement et gratuitement sur Internet, et encore plus facilement pour ces entreprises avec l’arrivée de l’IA, car ils sont générés automatiquement à partir de données publiques. J’avais consacré un article en avril à ce que valent ces audits de surface et à ce que la divulgation coordonnée exige de celui qui les mène. Dans cet article, je vais essayer de démystifier un peu ces acronymes, et vous donner des pistes pour mieux comprendre leur intérêt. Pour les experts en cybersécurité parmi vous, vous m’excuserez de simplifier parfois les choses, chaque standard derrière regroupant à lui seul souvent des dizaines de pages de spécifications et de complexité.

Mais n’oubliez jamais. Derrière une vulnérabilité potentielle, il faut mesurer un risque. Parce qu’une liste de vulnérabilités sans évaluation des risques conduit à traiter en premier ce qui compte… le moins (pour vous).

Cet article est aussi disponible en anglais.

Chaque année, dans le nord de la Norvège, plusieurs agences publiques autorisent quelques jours d’émissions de brouillage et de leurrage GNSS autour de l’île d’Andøya, pour que constructeurs et opérateurs viennent éprouver leurs équipements en conditions réelles. Cet exercice s’appelle le Jammertest [1], et c’est le plus grand du genre ouvert au public. Pendant l’édition 2022, un participant a laissé l’application Strava tourner sur son téléphone au milieu d’un essai de leurrage. Il a publié dans la foulée un record personnel involontaire : 6,44 kilomètres en 5 minutes et 50 secondes, avec 495 mètres de dénivelé positif. Seul hic : son téléphone ne faisait pas partie de l’essai. S’il fallait se rappeler qu’un signal de positionnement falsifié se propage dans tout ce qui contient un récepteur GNSS, c’était une belle démonstration, qui a même trouvé sa place dans un article de recherche [2].