Constanța : quand NoName s'en prend à tout un écosystème portuaire

This article is also available in English.

D’ordinaire, quand la nébuleuse hacktiviste pro-russe NoName057(16) s’en prend au secteur maritime et portuaire, elle pioche une poignée de sites : une compagnie de ferries ici, une autorité portuaire là. Cette fois, depuis une dizaine de jours, c’est tout l’écosystème et l’hinterland du port de Constanța qui sont passés au crible.

Une saturation méthodique

Quarante entités maritimes revendiquées entre le 29 juillet et le 7 août, autour d’un même bassin. Pas seulement l’autorité portuaire : les terminaux de vrac et de conteneurs, les agences maritimes qui consignent les navires, les ports fluviaux du Danube en amont, les compagnies pétrolières offshore de la mer Noire, l’autorité navale roumaine, jusqu’à l’association patronale du port.

Mises bout à bout, ces cibles dessinent une chaîne logistique complète, du quai jusqu’au chargeur. Il s’agit de la plus importante vague hacktiviste de NoName057(16) à l’encontre du secteur maritime et portuaire.

Un mot de prudence quand même, à plusieurs titres, pour ne pas sur-vendre l’affaire. D’abord, le groupe frappe bien plus large ailleurs, dans la finance, les administrations ou les télécoms, et la Roumanie encaisse régulièrement des milliers de cibles en une seule semaine. Ensuite, NoName057(16) relève autant de l’opération d’influence que de l’attaque technique : la revendication, le décompte et la mise en scène cherchent avant tout une caisse de résonance, et en parler, c’est déjà leur offrir un peu de cette résonance. Enfin, ce type de vague affiche un bilan opérationnel modeste : par le passé, elle a rarement laissé de traces durables chez les organisations sérieusement préparées. L’intérêt de cette vague tient à l’ambition du ciblage : traiter un écosystème régional entier comme une seule surface d’attaque.

Dix jours, du port vers l’arrière-pays

La vague a avancé par paliers, avec même une courte pause le week-end des 1er et 2 août.

D’abord le cœur de Constanța, ses terminaux et ses agences, du 29 au 31 juillet. Puis l’arrière-pays : les ports du Danube vers Galați et Brăila, les sièges des pétroliers, du 3 au 5 août. Enfin une traîne, trois retardataires les 6 et 7 août. On remonte ainsi la chaîne logistique, du quai vers l’arrière-pays. Est-ce une progression réfléchie ou simplement l’ordre dans lequel les cibles ont été ajoutées à la configuration de l’outil ? Difficile de trancher de l’extérieur.

Cyber et géopolitique, encore…

Reste la question du mobile. Constanța n’est pas un port comme un autre. Depuis que la mer Noire est sous tension, il est devenu l’un des principaux débouchés des céréales ukrainiennes vers le reste du monde. La presse roumaine, elle, résume l’ambiance en deux mots : guerre hybride [1].

Le déni de service n’y est qu’un instrument parmi d’autres. Les mêmes semaines, le port a essuyé de fausses alertes à la bombe [2], diffusées par des messages audio en roumain que les autorités estiment générés par intelligence artificielle et émis depuis des numéros à préfixe polonais et ukrainien, visant notamment l’autorité navale roumaine, elle-même présente sur la liste des cibles du groupe. Début juin, un drone marin avait déjà été repéré dans un bassin du port [3]. Faut-il y voir une manœuvre coordonnée ? Rien ne permet de l’affirmer : ces incidents relèvent d’auteurs et de modes opératoires distincts. Ils dessinent surtout un climat, celui d’une pression diffuse sur la logistique du grain, dont le harcèlement numérique n’est qu’une composante.

Quid des impacts ?

On imagine volontiers, à lire « trente ports attaqués », des sites à terre et des grues à l’arrêt. Mais ce n’est pas parce qu’un port figure dans les cibles de NoName057(16) que son site est réellement tombé : une cible listée signale une attaque tentée, savoir si elle a coupé quoi que ce soit est une autre affaire.

L’autorité cyber roumaine, le DNSC, est constante sur ce point. Lors d’une vague précédente, le 4 mai 2025, elle constatait publiquement [4] que « tous les sites roumains listés » par le groupe restaient opérationnels. Elle rappelle aussi que ces revendications sont souvent gonflées : tel service annoncé « à terre » n’avait en réalité subi qu’une gêne de quelques minutes. La Roumanie n’en est d’ailleurs pas à sa première salve, puisque des sites gouvernementaux y essuient des vagues pro-russes depuis 2022.

Le dégât se joue ailleurs que dans la coupure : dans le harcèlement, dans les ressources qu’on brûle à répondre, et dans le climat d’insécurité que tout cela entretient.

Ce que la configuration révèle

Un dernier détail, pour qui aime regarder sous le capot. Les assaillants ne se contentent pas de marteler les pages d’accueil. Leur configuration vise des points précis, choisis parce qu’ils coûtent cher au serveur : formulaires de contact, pages de connexion, moteurs de recherche interne. Autant de requêtes qui forcent du travail côté serveur, une interrogation en base, l’envoi d’un courriel, l’ouverture d’une session, pour maximiser l’effet à moindre coût. La plupart des victimes sont de petites structures sous WordPress, mal armées pour encaisser, et souvent regroupées chez les mêmes hébergeurs mutualisés. Ces prestataires ont donc leur part de responsabilité : c’est à leur niveau, par du filtrage et de la mitigation en amont, qu’une vague pareille se contient le mieux, là où un petit site isolé ne peut presque rien. Techniquement, rien de sophistiqué : DDoSia est un outil clé en main, que n’importe quel « sympathisant » lance depuis son ordinateur. Le vrai effort des attaquants a porté sur la sélection des cibles : quelles victimes viser, et quels points précis frapper sur chacune.

Penser la défense à l’échelle du bassin

On a l’habitude de penser la cybersécurité site par site, entreprise par entreprise. Quand un adversaire traite un bassin portuaire entier comme une cible unique, la question change de nature : l’exposition de votre voisin de quai devient un peu la vôtre. Se défendre suppose alors de raisonner à l’échelle du bassin, ensemble, et plus seulement chacun derrière son propre pare-feu.

Sources

• [1] Aktual24, « Din nou alertă cu bombă în Portul Constanța. Se intensifică războiul hibrid dus de Rusia »
• [2] Romania Insider, « Bomb alert at Romania’s Black Sea Port of Constanța » (juillet 2026)
• [3] Maritime Security Forum, retour sur l’incident de drone au port de Constanța du 5 juin 2026
• [4] DNSC (autorité cyber roumaine), les sites roumains listés par DDoSia restent opérationnels (4 mai 2025, via financialintelligence.ro)