La cybersécurité maritime 2022 en chiffres

117 incidents relevés en 2022, contre 92 l’année précédente. La hausse, +27 %, est la plus faible de ces trois dernières années. La nature de ce que je relève, elle, change : jusqu’en 2021 mon jeu de données ne contenait pratiquement que de la criminalité d’extorsion, et 2022 y fait entrer la politique.

Cet article est aussi disponible en anglais.

Ces chiffres sortent de mon jeu de données de recherche sur les incidents cyber maritimes, monté pendant ma thèse et tenu à jour avec mes seuls moyens. Trois biais à garder à l’esprit : je ne compte que ce qui est sorti publiquement, souvent par la voix de l’attaquant ; le bilan d’une année révolue continue de s’alourdir au fil de mes relectures ; et sur 117 relevés, un pourcentage calculé sur une petite catégorie ne veut pas dire grand-chose.

La guerre entre dans le tableau

Le rançongiciel reste largement en tête, 73 relevés contre 56 l’an dernier, avec LockBit (12) et Conti (9) en première ligne. Mais deux catégories qui n’existaient pas dans mon relevé apparaissent d’un coup : 12 incidents d’origine politique, 5 revendiqués par des hacktivistes, et surtout 8 attaques par déni de service, contre aucune l’année précédente.

Le mois de février, 15 relevés, est le plus chargé du premier semestre. Le pic de juin, 16, correspond à la première vague de dénis de service revendiquée par un collectif pro-russe contre des ports européens.

Le déni de service arrive dans le maritime

Le collectif pro-russe Killnet ouvre la série. En juin, il vise des applications web de ports italiens, puis la compagnie maritime nationale lituanienne. En septembre, il s’en prend à des sites japonais, dont celui de l’autorité portuaire de Nagoya, resté injoignable une quarantaine de minutes, et présente l’opération comme une déclaration de guerre au gouvernement japonais [1]. En octobre, c’est une administration portuaire bulgare.

Techniquement, il ne se passe pas grand-chose : un site vitrine indisponible pendant une heure, aucune opération portuaire affectée. Politiquement, le message passe, et le mode d’action se révèle presque gratuit pour l’attaquant. Huit relevés en une année, c’est peu. Je note surtout qu’ils partaient de zéro, et que la mécanique paraît reproductible à volonté.

Le même déplacement s’observe côté israélien, avec des fuites de données revendiquées contre les ports d’Ashdod et de Haïfa en février, puis une campagne d’hameçonnage visant des compagnies maritimes israéliennes en août, cette fois attribuée à un acteur lié à l’Iran.

Un fournisseur à l’arrêt, et des cartes qui ne se mettent plus à jour

Le 2 décembre, l’éditeur singapourien Voyager Worldwide débranche l’ensemble de ses systèmes après une compromission. Ses produits de gestion de flotte et de cartographie servent une part importante des armateurs mondiaux ; l’accès en ligne devient indisponible pendant plusieurs jours, et le service n’est rétabli qu’autour du 10 décembre [2]. L’éditeur fait appel à un cabinet de réponse à incident et ne détaille ni la nature de l’attaque ni son auteur [3].

Aucun navire n’a été mis en danger. Mais un armateur qui dépend d’un service unique pour la tenue à jour de ses cartes découvre, ce mois-là, ce que vaut son plan B. C’est le premier cas de l’année où la panne d’un fournisseur atteint la conduite du navire elle-même.

Autre affaire discrète et instructive : en avril, les services d’enquête américains interrompent une intrusion dans les serveurs d’une entreprise gérant un câble sous-marin reliant Hawaï au reste du Pacifique, avant tout dommage [4]. L’infrastructure sous-marine commence à intéresser du monde.

Où tombent les coups

Les ports arrivent en tête avec 22 relevés, suivis des logisticiens et des industriels (18 chacun) et des armateurs (16). Géographiquement, les États-Unis restent premiers avec 20 relevés, devant l’Allemagne (9), le Royaume-Uni (8), la France (7) et Israël (6). L’Europe repasse devant l’Asie, 50 contre 39, après l’inversion de 2021.

Une frontière qui se brouille

2022 restera l’année où la menace cyber maritime a cessé d’être seulement une affaire d’argent. Le volume reste criminel, et de loin. Mais une part des attaques répond désormais à un calendrier diplomatique, et vise l’image plutôt que la caisse.

Pour un port ou un armateur, cela ajoute une ligne au plan de crise, sans en retirer aucune : il faut maintenant savoir quoi répondre quand un collectif revendique une attaque qui n’a produit aucun effet, et le faire sans donner à l’opération la publicité qu’elle recherche. C’est un exercice de communication autant que de sécurité, et c’est typiquement le genre de sujet sur lequel un centre sectoriel comme France Cyber Maritime est utile.

Sources

• [1] Asia News Network, des pirates pro-russes revendiquent l’indisponibilité de sites gouvernementaux japonais (septembre 2022)
• [2] Splash 247, Voyager Worldwide victime d’une cyberattaque (décembre 2022)
• [3] Riviera Maritime Media, indisponibilité de Voyager Fleet Insight après un incident de sécurité (décembre 2022)
• [4] Hawaii News Now, les enquêteurs de Honolulu interrompent une cyberattaque contre un câble sous-marin (avril 2022)