La cybersécurité maritime 2021 en chiffres

92 incidents relevés en 2021, contre 50 l’année précédente. Le rançongiciel continue de fournir l’essentiel du volume, mais deux choses changent : l’Asie devient la première région touchée de mon relevé, et une partie des attaques ne cherche plus du tout à se faire remarquer.

Cet article est aussi disponible en anglais.

Ces chiffres sortent de mon jeu de données de recherche sur les incidents cyber maritimes, monté pendant ma thèse et tenu à jour avec mes seuls moyens. Trois biais avant de les lire : je ne compte que ce qui est sorti publiquement, souvent par la voix de l’attaquant ; le bilan d’une année s’alourdit encore des mois après sa clôture ; et sur des effectifs de cet ordre, les pourcentages sont fragiles. Je les donne quand la base le permet, avec les nombres à côté.

Le rançongiciel s’installe, l’intrusion silencieuse aussi

Le rançongiciel passe de 33 à 56 relevés, soit +70 %, et représente à lui seul six incidents sur dix. Mais la progression la plus intéressante est ailleurs : les intrusions passent de 7 à 16, et les catégories espionnage et étatique, absentes en 2020, totalisent 15 relevés.

Côté métiers, les logisticiens passent devant tout le monde avec 20 relevés, devant les armateurs (16), les ports (13) et l’offshore (8). La campagne Cl0p contre l’appliance de transfert de fichiers Accellion illustre bien la période : elle a touché des victimes sans rapport entre elles, dont la société de classification American Bureau of Shipping en février, simplement parce qu’elles utilisaient le même produit en fin de vie.

L’Asie passe devant l’Europe

C’est la particularité de l’année, et je ne l’attendais pas : 33 relevés concernent des victimes asiatiques, contre 31 européennes et 17 américaines. Le Japon (7), la Corée du Sud (5) et Singapour (5) portent l’essentiel, avec des chantiers navals, des armateurs et des ports.

Deux facteurs se combinent. D’abord une vraie densité maritime, celle des grands ports et des chantiers d’Asie de l’Est. Ensuite des campagnes d’espionnage documentées cette année-là contre des marines d’Asie du Sud-Est, notamment philippine et indonésienne, qui n’auraient pas été comptées dans un relevé centré sur l’Europe. J’assume que ma couverture s’est élargie en même temps que la menace : les deux effets sont ici mêlés.

Deux affaires, deux modèles de menace

Le 22 juillet, Transnet, l’opérateur public sud-africain des ports et du fret ferroviaire, est touché par un rançongiciel. L’entreprise déclare la force majeure sur ses terminaux à conteneurs. Durban, qui traite plus de la moitié du commerce maritime sud-africain, bascule en manuel pendant plusieurs jours [1]. Tout le monde l’a vu, y compris les navires en attente au mouillage.

En août, Port Houston, premier port américain pour le tonnage étranger, subit une intrusion d’une tout autre nature. Les attaquants exploitent une faille alors inconnue dans un logiciel de gestion de mots de passe, déposent une porte dérobée sur un serveur d’authentification et exfiltrent une base de comptes [2]. L’agence américaine de cybersécurité publie une alerte sur la vulnérabilité [3] et l’autorité portuaire indique qu’aucune opération n’a été perturbée. Personne n’a rien vu passer, ce qui était l’objectif.

Ces deux affaires demandent des réponses opposées. Contre la première, des sauvegardes et un plan de continuité. Contre la seconde, de la détection, des journaux conservés et quelqu’un pour les lire.

Des navires de guerre qui n’étaient pas là

Dans la nuit du 18 au 19 juin, les sites publics de suivi du trafic montrent le destroyer britannique HMS Defender et la frégate néerlandaise HNLMS Evertsen quitter Odessa et entrer dans la rade de Sébastopol, en Crimée. Les deux navires étaient à quai à Odessa [4]. Fin juillet, une analyse systématique des données AIS identifie des trajectoires falsifiées pour au moins onze bâtiments de l’OTAN, dans plusieurs zones de tension [5].

L’AIS n’a jamais été conçu pour être authentifié, et cette faiblesse est connue depuis longtemps. L’usage, lui, est nouveau : fabriquer un incident diplomatique en injectant une position, sans toucher au navire. Je ne relève que 4 incidents de brouillage ou de leurrage cette année, ce qui reflète surtout la difficulté à documenter ces cas, pas leur rareté.

Deux risques, et une donnée qu’on ne peut plus croire

Le paysage de 2021 tient en trois lignes. Le rançongiciel reste le premier risque en volume et frappe désormais surtout la logistique. L’espionnage s’installe discrètement chez ceux qui comptent, ports et marines, sans chercher l’effet. Et les données de position se manipulent, ce qui devrait faire réfléchir avant de fonder une décision sur une seule source.

Pour l’année qui vient, la priorité reste ennuyeuse et efficace : réduire ce qui est exposé sur Internet, corriger vite les logiciels d’accès et d’authentification, conserver des journaux exploitables, et éprouver ses sauvegardes pour de vrai. Les mots de passe par défaut de la marétique restent, eux, un sujet toujours pas réglé.

Sources

• [1] Moneyweb, le rançongiciel Death Kitty lié à l’attaque contre les ports sud-africains (juillet 2021)
• [2] The Record, un groupe étatique cible Port Houston via une faille Zoho (septembre 2021)
• [3] CISA, alerte AA21-259A sur l’exploitation de la vulnérabilité Zoho ManageEngine (septembre 2021)
• [4] USNI News, les positions de deux navires de l’OTAN falsifiées près de la base navale russe de mer Noire (juin 2021)
• [5] SkyTruth, une analyse systématique révèle de fausses trajectoires de navires (juillet 2021)