La cybersécurité maritime 2020 en chiffres
Sur les 50 incidents cyber maritimes que j’ai relevés en 2020, 33 sont des rançongiciels. Aucun n’est un navire pris en main à distance. Et en une semaine de septembre, un armateur du premier rang mondial puis l’agence des Nations unies chargée de réglementer le transport maritime ont été touchés à deux jours d’intervalle.
Cet article est aussi disponible en anglais.
Ces chiffres sortent de mon jeu de données de recherche sur les incidents cyber maritimes, monté pendant ma thèse et tenu à jour avec mes seuls moyens. Trois biais à garder en tête avant de les lire. Je ne compte que ce qui est sorti publiquement, le plus souvent par la voix de l’attaquant. Le bilan d’une année continue de s’alourdir des mois après sa clôture, au fil de mes relectures. Et sur des effectifs aussi petits, un incident de plus déplace un point de pourcentage : je donnerai donc surtout des nombres.
Le rançongiciel occupe les deux tiers de l’année
50 relevés en 2020, contre 23 en 2019. Le doublement est réel, mais il tient pour partie à ma propre montée en régime : je documente mieux en 2020 qu’en 2019. Ce qui est net, en revanche, c’est la composition. Le rançongiciel passe de 7 à 33 relevés, et l’origine cybercriminelle couvre 37 des 50 incidents. Rien d’hacktiviste, rien de revendiqué politiquement.
Les noms qui reviennent sont ceux de la génération de la double extorsion, qui chiffre et publie : Maze, Egregor, DoppelPaymer, REvil, Nefilim, NetWalker. Aucun ne s’intéresse au maritime en particulier. Ils prennent ce qui est vulnérable et joignable, et le secteur se trouve sur leur route comme n’importe quel autre.
Le creux de février et mars, un relevé par mois, mérite une remarque. Le secteur avait alors autre chose à traiter, et la publication des incidents s’est arrêtée net. La courbe mesure aussi l’attention qu’on porte aux incidents.
Ce qui tombe, c’est la chaîne, pas le navire
La répartition par métier est l’enseignement principal de l’année : 10 relevés chez les armateurs, 10 chez les logisticiens, 8 dans les ports, 6 à bord, 5 chez les industriels, 3 dans les chantiers. Géographiquement, les États-Unis arrivent en tête avec 11 relevés, devant la Norvège (6) et la France (5).
Le cas de l’australien Toll Group résume la mécanique : deux rançongiciels différents en quatre mois, en janvier puis en mai, chez un transporteur qui pèse sur toute la logistique du Pacifique. Le même schéma se retrouve chez le croisiériste Hurtigruten, chez Carnival et jusque dans un port fluvial de l’ouest américain : les navires naviguent, mais la réservation, la facturation, la documentation douanière et la paie s’arrêtent.
Une semaine de septembre
Le 28 septembre, CMA CGM annonce une attaque par le rançongiciel Ragnar Locker. Les applications externes et les sites du groupe tombent, la réservation bascule sur des canaux de secours, et l’armateur reconnaît ensuite une possible fuite de données clients [1]. Deux jours plus tard, le 30 septembre, c’est l’Organisation maritime internationale qui perd son site public et son intranet. L’agence parle d’une attaque sophistiquée ayant franchi ses protections, alors même qu’elle est certifiée ISO/IEC 27001, et coupe ses systèmes pour limiter la propagation [2].
Le rapprochement des deux dates a beaucoup circulé, et rien ne permet de les relier. La démonstration d’ensemble compte davantage : sur une même semaine, le transporteur et le régulateur se sont retrouvés dans la même situation, avec les mêmes moyens de fortune.
Se méfier des chiffres qui circulent
2020 aura aussi été l’année des pourcentages spectaculaires. J’ai moi-même relayé ici une augmentation de 900 % des attaques sur les systèmes métiers et une hausse de 400 % des tentatives pendant la crise sanitaire. Ces chiffres viennent de fournisseurs de sécurité, portent sur des tentatives et non sur des incidents, et ne sont adossés à aucun décompte vérifiable. Cinquante incidents documentés, c’est moins vendeur qu’un facteur dix, et c’est autrement plus utile pour décider où mettre son argent.
Un secteur qui se découvre atteignable
Le risque s’est matérialisé chez les armateurs et les logisticiens plutôt qu’à bord. Les attaquants sont des opportunistes qui vivent de l’extorsion, sans agenda maritime. Et le régulateur du secteur s’est révélé aussi exposé que ceux qu’il réglemente.
Le scénario à travailler pour 2021 n’est donc pas le détournement de navire, il est beaucoup plus banal : une administration commerciale à l’arrêt pendant dix jours, des sauvegardes qu’on n’a jamais restaurées pour de vrai, et un prestataire qui détient vos données sans que vous sachiez comment il les protège.
