La cybersécurité maritime 2024 en chiffres

596 incidents cyber maritimes relevés en 2024, contre 117 deux ans plus tôt. Presque toute cette croissance tient à un seul mode d’action, bruyant et industrialisé, qui ne touche presque jamais les opérations. Derrière ce rideau, le rançongiciel a continué d’avancer chez les fournisseurs du secteur, et deux câbles sous-marins ont été sectionnés en Baltique par des navires marchands.

Cet article est aussi disponible en anglais.

Ces chiffres sortent de mon jeu de données de recherche sur les incidents cyber maritimes, monté pendant ma thèse et tenu à jour depuis avec mes seuls moyens. Il ne recense que ce qui est sorti publiquement, et le plus souvent par la voix de l’attaquant. C’est donc un indicateur de pression ; l’inventaire complet, personne ne l’a.

Le volume a changé d’ordre de grandeur

La progression est continue : 92 relevés en 2021, 117 en 2022, 478 en 2023, 596 en 2024. Le compteur a été multiplié par cinq en deux ans. Et 2025 ne ralentit pas : à fin août, j’en suis à 741 pour l’année en cours, contre 399 à la même date en 2024.

Ce changement d’échelle mesure l’installation d’un mode d’action très industrialisé, qui produit du volume pour un coût presque nul.

Un seul groupe pèse la moitié de l’année

Sur les 596 relevés, 410 relèvent du déni de service distribué (DDoS), près de sept sur dix, presque tous d’origine hacktiviste. L’écosystème pro-russe NoName057(16) en porte 361 à lui seul : 61 % de tout ce que j’ai relevé dans l’année, et près de neuf DDoS sur dix.

Sa cible de prédilection reste le port, avec 178 relevés, devant les administrations maritimes et les acteurs de la défense. Sa géographie suit l’actualité politique plus que l’activité maritime : l’Espagne arrive très largement en tête avec 81 relevés, devant la Suède (29), puis le Royaume-Uni, l’Allemagne et l’Italie (28 chacun). Le pic de juillet, 72 incidents dans le mois, ressemble à toutes les vagues du genre : quelques jours d’attaques concentrées sur un pays, après une déclaration ou un sommet.

L’effet opérationnel, lui, reste faible. Un DDoS rend un site ou un portail injoignable quelques heures et n’atteint ni le terminal ni le navire. Son vrai coût est l’attention qu’il mobilise : à force de voir passer ces alertes, on finit par ne plus regarder le reste.

Le rançongiciel s’installe chez les fournisseurs

124 relevés en 2024, un incident sur cinq, contre 95 l’année précédente. La moitié se concentre aux États-Unis, avec 51 relevés. Et la répartition par métier est plus parlante que le total : 35 chez les industriels et les équipementiers, 20 chez les armateurs, 14 chez les logisticiens, 14 dans les ports, 12 dans l’offshore. Ces groupes n’ont aucune appétence particulière pour le maritime : ils prennent ce qui est vulnérable et joignable, et une partie du secteur se trouve sur leur route. Ce qui tombe se situe à la périphérie du navire, chez ceux qui le construisent, l’équipent et l’approvisionnent.

Aucun groupe ne domine cette catégorie : Play et RansomHub à 16 relevés, LockBit à 11, puis une longue traîne d’affiliés. L’écosystème fonctionne en sous-traitance : la disparition d’une marque ne réduit pas le nombre d’attaques.

L’exemple de l’année est le port de Seattle, chiffré fin août 2024 par le rançongiciel Rhysida. L’autorité portuaire, qui exploite aussi l’aéroport international de Seattle-Tacoma, a débranché ses systèmes d’Internet ; enregistrement des passagers, traitement des bagages, bornes, affichage et réservation de stationnement sont tombés, et le personnel est repassé aux tableaux effaçables. Elle a refusé de payer la rançon d’environ six millions de dollars, en expliquant publiquement qu’elle gérait de l’argent public [1]. Les données volées ont fini par être publiées, et le port a notifié près de 90 000 personnes, essentiellement des agents et des prestataires [2]. On retrouve là ce qu’on avait vu chez le croisiériste norvégien Hurtigruten : l’exploitation continue tant bien que mal, l’administratif plie.

Les câbles de la Baltique entrent dans le tableau

Quatre relevés de 2024 concernent des atteintes à l’infrastructure sous-marine. Aucun n’est une attaque informatique. Je les garde pourtant dans le même jeu de données, parce que ce sont les mêmes liaisons qui portent les communications du secteur, et parce que les auteurs présumés sont les mêmes que ceux qu’on retrouve derrière le reste.

Les 17 et 18 novembre 2024, le vraquier Yi Peng 3, sous pavillon chinois et commandé par un capitaine russe, quitte le port russe d’Oust-Louga et sectionne coup sur coup deux liaisons : la BCS East-West Interlink entre la Lituanie et Gotland, puis le C-Lion 1, seul câble sous-marin direct entre la Finlande et l’Europe de l’Ouest, à environ 700 kilomètres (380 NM) d’Helsinki [3]. Le navire a traîné son ancre. Il a ensuite mouillé plusieurs semaines dans le Kattegat sous surveillance internationale, reçu à son bord une délégation d’enquêteurs de cinq pays, puis repris la mer sans avoir été ni saisi ni poursuivi [4]. Le 25 décembre, le pétrolier Eagle S endommageait à son tour la liaison électrique Estlink 2 dans le golfe de Finlande.

Sur l’attribution, la prudence reste de mise. Plusieurs responsables européens ont parlé de sabotage, et la presse américaine a rapporté, de sources de renseignement anonymes, que le capitaine aurait agi sur instruction russe [5] ; d’autres évaluations, américaines également, n’ont pas conclu au caractère délibéré. À ce jour, aucun État n’a formellement attribué ces coupures. La démonstration, elle, est acquise : une ancre et un vraquier suffisent à couper une liaison stratégique, pour un coût nul et un risque judiciaire à peu près nul lui aussi. C’est le genre de sujet que le projet de loi sur la résilience des infrastructures critiques va devoir prendre à bras-le-corps.

Et le GNSS ?

Quatre relevés seulement en 2024, ce qui ne veut rien dire de l’ampleur réelle du phénomène. Le brouillage est devenu si banal dans le Golfe persique, en Méditerranée orientale et en mer Noire qu’il n’est plus signalé au coup par coup. Comptez plutôt sur le fait que, dans ces zones, la position et le temps donnés par les réseaux satellitaires ne sont pas fiables. Et méfiez-vous des récits trop propres : j’ai déjà expliqué pourquoi il faut attendre les rapports d’enquête avant de conclure au leurrage devant une collision.

Le bruit, le fournisseur et le câble

Trois mouvements ressortent de l’année, et aucun ne se règle avec les mêmes outils.

Le bruit hacktiviste occupe le terrain, sept incidents sur dix, et un seul groupe en produit la majorité. Il se traite avec une protection anti-DDoS, une procédure de communication et le calme nécessaire pour ne pas mobiliser une cellule de crise à chaque revendication.

Le rançongiciel, lui, s’est déplacé vers les fournisseurs. Le scénario à préparer n’est plus seulement « mon système est chiffré », c’est « mon agent maritime ne répond plus depuis dix jours et mes escales s’empilent ». Cela se traite par des exigences contractuelles, un inventaire des dépendances, et des sauvegardes testées. Les vulnérabilités exploitées, elles, n’ont rien d’exotique : accès distants exposés, authentification multifacteur absente, correctifs en retard, matériels en fin de vie. Les garde-côtes américains et la CISA ne disent pas autre chose quand ils vont « à la pêche » aux vulnérabilités dans les ports.

Le câble, enfin, est une affaire de redondance des liaisons et de capacité à tenir quand elles tombent. Pour un armateur ou un port, la question tient en une phrase : que se passe-t-il si la liaison principale disparaît pendant dix jours, et qui l’a testé ?

Sources

• [1] Cybersecurity Dive, le port de Seattle refuse de payer la rançon exigée par Rhysida (septembre 2024)
• [2] Port of Seattle, notification aux personnes concernées par la cyberattaque de l’automne 2024
• [3] Cinia, avarie sur le câble sous-marin C-Lion1 entre la Finlande et l’Allemagne (novembre 2024)
• [4] CNN, accident ou sabotage : désaccord entre responsables américains et européens sur les coupures de câbles (novembre 2024)
• [5] gCaptain, la Russie devient le principal suspect dans l’affaire du Yi Peng 3 (décembre 2024)