La cybersécurité maritime 2024 en chiffres

716 incidents cyber maritimes relevés en 2024, contre 117 deux ans plus tôt. Presque toute cette croissance tient à un seul mode d’action, bruyant et industrialisé, qui ne touche presque jamais les opérations. Derrière ce rideau, le rançongiciel a continué d’avancer chez les fournisseurs du secteur, et deux câbles sous-marins ont été sectionnés en Baltique par des navires marchands.

Cet article est aussi disponible en anglais.

Chiffres et graphiques arrêtés au 7 septembre 2026.

Ces chiffres sortent de mon jeu de données de recherche sur les incidents cyber maritimes, monté pendant ma thèse et tenu à jour depuis avec mes seuls moyens. Il ne recense que ce qui est sorti publiquement, et le plus souvent par la voix de l’attaquant. C’est donc un indicateur de pression ; l’inventaire complet, personne ne l’a.

Le volume a changé d’ordre de grandeur

La progression est continue : 91 relevés en 2021, 117 en 2022, 529 en 2023, 716 en 2024. Le compteur a été multiplié par six en deux ans. Et 2025 n’a pas ralenti : l’année s’est close à 1 295 relevés.

Rapportée à la seule année 2023, la hausse est de 35 %, et elle se répartit inégalement. Le déni de service progresse de 32 %, de 401 à 531 relevés, quand le rançongiciel gagne 29 %, de 95 à 123. Le bruit croît donc un peu plus vite que la menace qui coûte cher. Les vols de données passent de 7 à 19 relevés : la variation est spectaculaire en proportion, sur des effectifs trop faibles pour en tirer quoi que ce soit.

Ce changement d’échelle mesure l’installation d’un mode d’action très industrialisé, qui produit du volume pour un coût presque nul.

Un seul groupe pèse la moitié de l’année

Sur les 716 relevés, 531 relèvent du déni de service distribué (DDoS), près de trois sur quatre, presque tous d’origine hacktiviste. L’écosystème pro-russe NoName057(16) en porte 482 à lui seul : 67 % de tout ce que j’ai relevé dans l’année, et près de neuf DDoS sur dix.

Sa cible de prédilection reste le port, avec 171 relevés, devant les administrations maritimes et les acteurs de la défense. Sa géographie suit l’actualité politique plus que l’activité maritime : l’Espagne arrive très largement en tête avec 82 relevés, devant la Suède (32) et l’Italie (31), puis l’Allemagne et l’Ukraine (30 chacune). Le pic de juillet, 86 incidents dans le mois, ressemble à toutes les vagues du genre : quelques jours d’attaques concentrées sur un pays, après une déclaration ou un sommet.

Comparé à 2023, le groupe progresse de 32 %, de 366 à 482 relevés, soit un peu moins vite que le total de l’année : sa domination se maintient sans s’étendre. Sa carte, en revanche, se redessine complètement. L’Espagne passe de 14 à 82 relevés pour ce seul groupe, le Japon de 1 à 26, pendant que l’Italie recule de 43 à 31 et la Finlande de 30 à 15. À l’échelle des bassins et tous incidents confondus, la Méditerranée gagne 77 %, de 113 à 200 relevés, quand la Baltique perd 21 %, de 203 à 161. La pression descend vers le sud.

L’effet opérationnel, lui, reste faible. Un DDoS rend un site ou un portail injoignable quelques heures et n’atteint ni le terminal ni le navire. Son vrai coût est l’attention qu’il mobilise : à force de voir passer ces alertes, on finit par ne plus regarder le reste.

Le rançongiciel s’installe chez les fournisseurs

123 relevés en 2024, un incident sur six, contre 95 l’année précédente. Les États-Unis en concentrent 50, soit deux sur cinq. Et la répartition par métier est plus parlante que le total : 34 chez les industriels et les équipementiers, 20 chez les armateurs, 14 chez les logisticiens, 14 dans les ports, 12 dans l’offshore. L’évolution sur un an est plus parlante que la photographie : chez les seuls industriels, le rançongiciel passe de 16 à 34 relevés, soit +113 %, et de 8 à 14 dans les ports, tandis que les logisticiens reculent légèrement, de 16 à 14. Aux États-Unis, le nombre de victimes de rançongiciel triple, de 17 à 50. Ces groupes n’ont aucune appétence particulière pour le maritime : ils prennent ce qui est vulnérable et joignable, et une partie du secteur se trouve sur leur route. Ce qui tombe se situe à la périphérie du navire, chez ceux qui le construisent, l’équipent et l’approvisionnent.

Aucun groupe ne domine cette catégorie : Play et RansomHub à 16 relevés, LockBit à 10, puis une longue traîne d’affiliés. L’écosystème fonctionne en sous-traitance : la disparition d’une marque ne réduit pas le nombre d’attaques.

L’exemple de l’année est le port de Seattle, chiffré fin août 2024 par le rançongiciel Rhysida. L’autorité portuaire, qui exploite aussi l’aéroport international de Seattle-Tacoma, a débranché ses systèmes d’Internet ; enregistrement des passagers, traitement des bagages, bornes, affichage et réservation de stationnement sont tombés, et le personnel est repassé aux tableaux effaçables. Elle a refusé de payer la rançon d’environ six millions de dollars, en expliquant publiquement qu’elle gérait de l’argent public [1]. Les données volées ont fini par être publiées, et le port a notifié près de 90 000 personnes, essentiellement des agents et des prestataires [2]. On retrouve là ce qu’on avait vu chez le croisiériste norvégien Hurtigruten : l’exploitation continue tant bien que mal, l’administratif plie.

Les câbles de la Baltique entrent dans le tableau

Quatre relevés de 2024 concernent des atteintes à l’infrastructure sous-marine. Aucun n’est une attaque informatique. Je les garde pourtant dans le même jeu de données, parce que ce sont les mêmes liaisons qui portent les communications du secteur, et parce que les auteurs présumés sont les mêmes que ceux qu’on retrouve derrière le reste.

Les 17 et 18 novembre 2024, le vraquier Yi Peng 3, sous pavillon chinois et commandé par un capitaine russe, quitte le port russe d’Oust-Louga et sectionne coup sur coup deux liaisons : la BCS East-West Interlink entre la Lituanie et Gotland, puis le C-Lion 1, seul câble sous-marin direct entre la Finlande et l’Europe de l’Ouest, à environ 700 kilomètres (380 NM) d’Helsinki [3]. Le navire a traîné son ancre. Il a ensuite mouillé plusieurs semaines dans le Kattegat sous surveillance internationale, reçu à son bord une délégation d’enquêteurs de cinq pays, puis repris la mer sans avoir été ni saisi ni poursuivi [4]. Le 25 décembre, le pétrolier Eagle S endommageait à son tour la liaison électrique Estlink 2 dans le golfe de Finlande.

Sur l’attribution, la prudence reste de mise. Plusieurs responsables européens ont parlé de sabotage, et la presse américaine a rapporté, de sources de renseignement anonymes, que le capitaine aurait agi sur instruction russe [5] ; d’autres évaluations, américaines également, n’ont pas conclu au caractère délibéré. À ce jour, aucun État n’a formellement attribué ces coupures. La démonstration, elle, est acquise : une ancre et un vraquier suffisent à couper une liaison stratégique, pour un coût nul et un risque judiciaire à peu près nul lui aussi. C’est le genre de sujet que le projet de loi sur la résilience des infrastructures critiques va devoir prendre à bras-le-corps.

Et le GNSS ?

Quatre relevés seulement en 2024, ce qui ne veut rien dire de l’ampleur réelle du phénomène. Le brouillage est devenu si banal dans le Golfe persique, en Méditerranée orientale et en mer Noire qu’il n’est plus signalé au coup par coup. Comptez plutôt sur le fait que, dans ces zones, la position et le temps donnés par les réseaux satellitaires ne sont pas fiables. Et méfiez-vous des récits trop propres : j’ai déjà expliqué pourquoi il faut attendre les rapports d’enquête avant de conclure au leurrage devant une collision.

Le bruit, le fournisseur et le câble

Trois mouvements ressortent de l’année, et aucun ne se règle avec les mêmes outils.

Le bruit hacktiviste occupe le terrain, près de trois incidents sur quatre, et un seul groupe en produit la majorité. Il se traite avec une protection anti-DDoS, une procédure de communication et le calme nécessaire pour ne pas mobiliser une cellule de crise à chaque revendication.

Le rançongiciel, lui, s’est déplacé vers les fournisseurs. Le scénario à préparer n’est plus seulement « mon système est chiffré », c’est « mon agent maritime ne répond plus depuis dix jours et mes escales s’empilent ». Cela se traite par des exigences contractuelles, un inventaire des dépendances, et des sauvegardes testées. Les vulnérabilités exploitées, elles, n’ont rien d’exotique : accès distants exposés, authentification multifacteur absente, correctifs en retard, matériels en fin de vie. Les garde-côtes américains et la CISA ne disent pas autre chose quand ils vont « à la pêche » aux vulnérabilités dans les ports.

Le câble, enfin, est une affaire de redondance des liaisons et de capacité à tenir quand elles tombent. Pour un armateur ou un port, la question tient en une phrase : que se passe-t-il si la liaison principale disparaît pendant dix jours, et qui l’a testé ?

Sources

• [1] Cybersecurity Dive, le port de Seattle refuse de payer la rançon exigée par Rhysida (septembre 2024)
• [2] Port of Seattle, notification aux personnes concernées par la cyberattaque de l’automne 2024
• [3] Cinia, avarie sur le câble sous-marin C-Lion1 entre la Finlande et l’Allemagne (novembre 2024)
• [4] CNN, accident ou sabotage : désaccord entre responsables américains et européens sur les coupures de câbles (novembre 2024)
• [5] gCaptain, la Russie devient le principal suspect dans l’affaire du Yi Peng 3 (décembre 2024)