La cybersécurité maritime 2023 en chiffres

481 incidents relevés en 2023, contre 117 l’année précédente. Le total est multiplié par quatre en douze mois, et un seul groupe explique l’essentiel de l’écart. En octobre, par ailleurs, un vraquier a traîné son ancre sur deux cents kilomètres au fond du golfe de Finlande.

Cet article est aussi disponible en anglais.

Ces chiffres sortent de mon jeu de données de recherche sur les incidents cyber maritimes, monté pendant ma thèse et tenu à jour avec mes seuls moyens. Trois biais à garder en tête : je ne compte que ce qui est sorti publiquement, et le plus souvent par la voix de l’attaquant ; le bilan d’une année continue de s’alourdir des mois après sa clôture ; et une multiplication par quatre mesure en partie ma capacité à suivre un acteur qui publie lui-même ses cibles, ce qui n’est pas la même chose qu’une multiplication par quatre du danger.

Un seul groupe, les deux tiers de l’année

Le déni de service passe de 8 relevés à 353. L’hacktivisme, qui pesait 5 incidents en 2022, en pèse 356. Et un seul écosystème pro-russe, NoName057(16), en revendique 318 à lui seul, soit les deux tiers de toute mon année.

Ce groupe fonctionne autrement que les collectifs de 2022 : il publie ses cibles, distribue un outil à ses volontaires et enchaîne les vagues pays par pays. Le résultat se lit sur la courbe mensuelle. Juin concentre 95 relevés à lui seul, dont 77 pour ce seul groupe, répartis entre la Suède, l’Italie, la Lituanie, les Pays-Bas et le Canada.

Sa cible favorite est le port : 196 relevés portuaires dans l’année, devant les armateurs (67), la défense (39) et les administrations maritimes (36). La géographie est celle d’un calendrier politique européen, avec l’Italie (46), le Canada (37), la Suède (35), la Finlande (32), l’Allemagne et les Pays-Bas (31 chacun). L’Europe rassemble 346 des 481 relevés.

Sur l’effet réel, je reste prudent. Un portail de réservation indisponible deux heures ne perturbe pas une escale, et je n’ai relevé aucun cas où ces attaques auraient touché l’exploitation. Le coût est ailleurs : dans le temps que des équipes passent à traiter des alertes qui ne mènent à rien, et dans la difficulté à expliquer à une direction que non, il ne s’est rien passé.

Pendant ce temps, le rançongiciel continue

Sous ce tapis, le rançongiciel progresse de 73 à 95 relevés, +30 %, ce qui est cohérent avec les années précédentes. LockBit (16), Cl0p (14) et ALPHV/BlackCat (11) mènent la danse.

Le cas de l’année est australien. Le 10 novembre, DP World Australia, qui traite environ 40 % du fret conteneurisé du pays sur quatre terminaux, détecte une intrusion attribuée à un affilié de LockBit. Le point d’entrée est une vulnérabilité alors massivement exploitée dans un équipement d’accès distant [1]. L’entreprise débranche ses systèmes d’Internet, ce qui suspend l’exploitation des quatre terminaux pendant tout un week-end ; la presse australienne a évoqué environ 30 000 conteneurs immobilisés avant la reprise le 13 novembre. La même vulnérabilité a servi à des dizaines d’autres intrusions dans le monde à la même période [2].

C’est, à ma connaissance, la première fois qu’un rançongiciel arrête simultanément quatre terminaux à conteneurs d’un même pays. Et le vecteur n’a rien de maritime : un équipement d’accès distant non corrigé, comme il en existe dans tous les secteurs.

Une ancre au fond du golfe de Finlande

Le 8 octobre au petit matin, le gazoduc sous-marin Balticconnector, qui relie la Finlande à l’Estonie sur 77 kilomètres, perd brutalement sa pression. Les opérateurs isolent le tronçon et coupent le transit de gaz entre les deux pays. Deux câbles de télécommunications sont endommagés sur le même trajet [3].

L’enquête finlandaise s’oriente vers un porte-conteneurs sous pavillon de Hong Kong, le NewNew Polar Bear, qui a traîné son ancre sur environ deux cents kilomètres. Les autorités chinoises ont reconnu que le navire avait causé l’avarie, en la présentant comme accidentelle [4]. Aucun État n’a formellement attribué l’incident, et je m’en tiens là.

Le rapport entre les moyens et l’effet mérite qu’on s’y arrête. Une manœuvre de navire marchand, sans aucune informatique, met hors service une liaison énergétique entre deux États. Mon jeu de données compte 4 atteintes à l’infrastructure sous-marine cette année ; c’est peu, et c’est le genre de série qu’il faudra regarder de près si elle se prolonge.

Deux nouveautés qui vont durer

L’année 2023 aura installé deux choses. Un mode d’action hacktiviste industrialisé, très bruyant, presque sans effet opérationnel, qui rend désormais toute statistique de volume difficile à interpréter. Et la démonstration qu’une infrastructure sous-marine se coupe avec un équipement de pont.

Entre les deux, le rançongiciel continue son travail sans faire de bruit, et c’est toujours lui qui arrête des terminaux. Pour 2024, je surveillerai surtout deux choses : si les vagues hacktivistes se maintiennent à ce niveau une fois l’effet de nouveauté passé, et si les incidents sur câbles et gazoducs se répètent en Baltique. Le reste, c’est-à-dire la sécurisation de ce qui est exposé sur Internet, relève d’un travail que l’évolution des systèmes d’information maritimes rendait déjà prévisible il y a des années.

Sources

• [1] The Maritime Executive, une vulnérabilité massivement exploitée à l’origine probable de l’attaque contre DP World Australia (novembre 2023)
• [2] BleepingComputer, le rançongiciel LockBit exploite la vulnérabilité Citrix Bleed (novembre 2023)
• [3] Al Jazeera, la Finlande sur la cause de l’avarie du gazoduc (octobre 2023)
• [4] The Maritime Executive, la Chine reconnaît que le porte-conteneurs a causé la brèche du Balticconnector (2024)