Drones de la Royal Navy et caméras chinoises : encore et toujours l'angle mort de la chaîne d'approvisionnement

Le 10 août 2026, The Telegraph [1] a révélé que les caméras équipant les drones de surface K3 Scout de la Royal Navy renfermaient des composants d’origine chinoise, et que ces composants émettaient discrètement, vers une adresse IP située en Chine, des signaux de présence : de simples messages confirmant que l’appareil était en ligne, et non des images ni des données captées. L’information a été rapidement reprise en France, notamment par Le Figaro [2]. Derrière le titre, plutôt spectaculaire pour attirer le lecteur, la réalité technique et réglementaire est, à mon sens, plus fine et plus intéressante que la version du « drone espion ».

Ce que dit l’enquête

Le K3 Scout est un engin de surface sans équipage (USV) de 8,4 mètres, capable de pointes de vitesse à 55 nœuds, construit par l’industriel britannique Kraken Technology Group. La Royal Navy en a commandé une vingtaine pour environ douze millions de livres, dans le cadre du projet Beehive [3], et les a confiés au Coastal Forces Squadron ainsi qu’au 47 Commando des Royal Marines. La flotte est entrée en service en mars 2026. Une partie du lot devait rejoindre le Golfe pour des missions de liberté de navigation dans le détroit d’Ormuz.

C’est au cours d’une évaluation de vulnérabilité de routine, comprenant un volet cyber, menée depuis le quartier général du Special Boat Service (SBS) à Poole, que l’anomalie a été repérée. Toute la valeur de la démarche tient là : un contrôle régulier qui examine le comportement réel de l’équipement, jusque dans ses communications réseau, plutôt que de se fier à ce que promet sa fiche technique. Les caméras envoyaient ce qu’on appelle des heartbeat : de petits paquets réseau réguliers, comme un battement de cœur, qui confirment qu’un appareil est en ligne et fonctionne normalement. En apparence, rien de plus anodin. Sauf que ces battements partaient vers la Chine.

Un battement de cœur n’est pas une exfiltration

Il faut poser les mots justes, parce que la nuance change tout. Un heartbeat ne prouve pas qu’on a volé des données. Le ministère britannique de la Défense (Ministry of Defence, MoD) a coupé toute connectivité Internet des caméras dès la découverte et affirme n’avoir trouvé aucune preuve qu’une donnée ou un système aient été consultés, compromis ou transmis à l’extérieur [4]. De son côté, Kraken Technology Group explique que les caméras incriminées étaient des modules tiers présentés comme conformes au National Defense Authorization Act (NDAA), la loi américaine dont la section 889 interdit aux administrations fédérales d’acheter des équipements de vidéosurveillance ou de télécommunications provenant de certains fabricants chinois. Le label était donc censé garantir l’absence de composants chinois sensibles ; l’industriel reconnaît pourtant « un petit nombre de composants d’origine étrangère », achetés à un fournisseur qui avait donné des garanties de sécurité. Après un audit conjoint avec la marine, l’industriel se dit convaincu qu’aucune information sensible n’a jamais quitté les canaux prévus [5].

Un réflexe mérite d’être relevé : interrogé, l’industriel met en avant un label de conformité américain et les garanties d’un fournisseur tiers, plutôt que sa propre responsabilité d’intégrateur. La manœuvre est compréhensible en communication de crise ; le principe n’en reste pas moins que celui qui assemble un système et le met sur le marché en répond, et que la conformité affichée d’un sous-ensemble ne l’exonère pas.

À ce stade, donc, aucun vol de données n’est démontré. Mais s’arrêter là serait une erreur d’analyse. Ce qui a été découvert, c’est un canal sortant non maîtrisé, embarqué à l’insu de tous dans du matériel utilisé par des forces spéciales, sur un site parmi les plus sensibles du pays. Or un canal capable d’émettre un signal de présence vers un serveur distant pourrait, en théorie, en acheminer d’autres, même si rien, dans ce cas précis, ne permet de l’affirmer. Le risque ne se mesure pas seulement à ce qui a transité, mais à ce que ce canal rendait possible. Une séparation stricte des réseaux l’aurait sans doute rendu inoffensif : une caméra de drone n’a aucune raison légitime d’atteindre directement l’Internet, encore moins une adresse lointaine. Cloisonner les capteurs et filtrer leurs flux sortants prive d’emblée ce genre de comportement de sa destination. C’est d’ailleurs, en creux, ce qu’a fait la marine en coupant la connectivité Internet des caméras : le bon réflexe, mais après la découverte plutôt que dès la conception.

Le vrai sujet : savoir ce qu’il y a dans nos machines

La phrase la plus juste de toute l’affaire vient d’Alicia Kearns, députée conservatrice chargée de la sécurité au sein du cabinet fantôme de l’opposition britannique (shadow cabinet) : « Si nous ne pouvons pas dire avec certitude ce que contient notre équipement militaire, nous ne pouvons pas dire qu’il est le nôtre. » Le problème n’est pas qu’une caméra chinoise se soit retrouvée sur un drone britannique. Le problème, c’est que, faute d’audit de cybersécurité, aucun acteur de la chaîne, du concepteur à l’intégrateur jusqu’à l’opérateur militaire, ne connaissait précisément la nomenclature réelle du composant ni son comportement réseau.

On touche ici à un angle mort structurel de l’acquisition des plateformes autonomes. Ces engins ne sont pas des coques : ce sont des systèmes cyber-physiques (Cyber-Physical Systems), composés d’une multitude de sous-systèmes, caméras, radios, liaisons de données, récepteurs de navigation, achetés à des tiers, eux-mêmes fournis par d’autres tiers. Chaque capteur est une porte. J’avais déjà creusé cette fragilité propre aux véhicules maritimes autonomes et à leurs risques cyber, et on la retrouvait aussi, très concrètement, dans mon reportage sur un bac autonome en Finlande : plus une plateforme délègue à ses capteurs, plus la confiance qu’on leur accorde devient un actif à protéger en soi.

Que la destination du signal soit une adresse IP chinoise n’est pas neutre non plus, et il faut le dire sans surjouer l’attribution. Rien, dans le dossier public, ne permet d’affirmer qu’un service d’État était aux commandes ; une explication banale de télémétrie fournisseur ne peut pas être écartée sur le papier. Mais le contexte, du matériel de forces spéciales appelé à opérer dans un détroit d’Ormuz déjà disputé jusque dans son environnement de navigation, fait de l’hypothèse d’espionnage une préoccupation opérationnelle légitime, qui n’est pas sans rappeler le cas des grues ZPMC.

Mais un drone, c’est fait pour être perdu, non ?

Les industriels ont une réponse toute prête, et elle n’est pas absurde. Un engin de surface, c’est fait pour être exposé, usé, parfois sacrifié. Dans la doctrine des drones dits attritables, perdables en bon français, on accepte d’en perdre : pour saturer l’adversaire par le nombre, pour les faire exploser au contact comme des munitions rôdeuses, ou simplement parce qu’on assume le risque qu’ils tombent aux mains de l’ennemi. D’où le choix revendiqué de drones low cost : autant y mettre du matériel bon marché, disponible sur étagère, une antenne Starlink grand public, des caméras du commerce, des cartes électroniques dont la supply chain n’a pas été éprouvée. Sur le plan du coût, le raisonnement tient : pourquoi blinder un capteur qui finira au fond de l’eau ?

Sauf qu’il confond deux choses. Une coque perdable n’est ni une donnée perdable, ni un canal perdable. Tant qu’il flotte, un drone bon marché voit, entend et transmet, et s’il embarque un composant qui parle vers l’extérieur, il devient, le temps de sa vie utile, un capteur au service de celui qui écoute à l’autre bout. Le prix d’achat de l’engin n’a rien à voir avec la valeur de ce qu’il capte, ni avec la sensibilité du site depuis lequel il opère. Le K3 Scout n’a pas parlé parce qu’il était cher ou bon marché : il a parlé parce que personne n’avait regardé ce que sa caméra faisait sur le réseau. Ce n’est pas parce qu’un drone est perdable, ni parce que l’urgence opérationnelle commande d’aller vite, qu’on peut pour autant renoncer aux bons principes de cybersécurité.

Ce que le cadre prévoyait déjà

Rien de tout cela n’est une surprise pour qui suit le sujet. En 2023, j’ai contribué au livre blanc de France Cyber Maritime consacré à la cybersécurité des drones maritimes et navires autonomes [6], qui posait noir sur blanc les scénarios stratégiques propres à ce type d’engin. Deux d’entre eux décrivent presque à la lettre l’affaire du K3 Scout : le pré-positionnement d’un acteur étatique en passant par la chaîne d’approvisionnement (scénario SS3), et le vol de données à des fins d’espionnage stratégique en s’attaquant aux équipementiers et aux intégrateurs (SS5). Un composant tiers qui ouvre un canal discret depuis un drone en service, c’est exactement le pré-positionnement décrit alors comme hypothèse. Le document recommandait aussi, sans ambiguïté, une cartographie exhaustive, matérielle et logicielle, de tous les composants numériques de l’engin (recommandation ORG7). C’est précisément ce qui manquait à Poole.

Côté européen, ce réflexe est en train de devenir une obligation. Le règlement Cyber Resilience Act (CRA) [7] impose, pour tout « produit comportant des éléments numériques » vendu dans l’Union, une sécurité dès la conception, une gestion des vulnérabilités et une nomenclature de ses composants (SBOM), avec une pleine application au 11 décembre 2027 et les premières obligations de signalement dès septembre 2026. Pour la flotte grandissante de drones maritimes civils et duaux européens, hydrographie, surveillance portuaire, inspection offshore, c’est un vrai basculement : à terme, on ne pourra plus mettre sur le marché un engin dont on ignore ce qu’il embarque.

Deux nuances, cependant, et elles comptent. La première : le CRA exclut explicitement les produits conçus exclusivement à des fins de défense ou de sécurité nationale. Un engin militaire comme le K3 Scout n’entre donc pas dans son champ, et sa sûreté repose sur l’assurance propre aux marchés de défense, celle-là même qui, ici, n’a pas vu passer le composant. La seconde : la nomenclature du CRA reste avant tout logicielle, quand le problème du K3 Scout est d’origine matérielle. Même appliqué, le règlement n’aurait pas forcément attrapé une caméra dont la puce venait d’ailleurs. C’est pourquoi la cartographie matérielle réclamée par le livre blanc va, sur ce point précis, plus loin que le texte européen.

L’audit, encore une fois

Un détail mérite qu’on s’y arrête, parce qu’il porte la vraie leçon positive de l’affaire. Ce n’est ni un lanceur d’alerte, ni un coup de chance, ni l’adversaire ayant trahi sa présence qui a mis au jour le problème : c’est un contrôle de sécurité de routine. Une évaluation de vulnérabilité méthodique, appliquée à un équipement déjà en service, sur un site sensible. Sans elle, la caméra battrait sans doute encore.

On le répète à chaque incident, et celui-ci le démontre une fois de plus : l’audit n’est pas une case à cocher pour la conformité, c’est le seul moment où l’on regarde vraiment ce qu’une machine fait, au lieu de croire ce que sa fiche technique en dit. Auditer une seule fois, à la livraison, sur la foi des garanties du fournisseur, ne suffit pas. Il faut le faire dans la durée, sur le comportement réel, flux réseau compris, y compris pour du matériel réputé conforme. Le K3 Scout avait des garanties de sécurité écrites ; ce sont les paquets sortants, pas les garanties, qui ont fini par dire la vérité.

En France, c’est précisément l’objet de la démarche d’homologation de sécurité promue par l’ANSSI : avant qu’un système soit mis en service, une autorité doit se prononcer, sur la base d’une analyse de risques, sur le niveau de sécurité réellement atteint, et non sur les seules garanties du fournisseur. Un tel garde-fou a justement vocation à poser la question du comportement d’un équipement, flux réseau compris, avant son déploiement et pas une fois qu’il opère sur le terrain.

À qui profite la publication ?

Il reste une question qu’on se pose trop rarement devant ce type de révélation : pourquoi cette information sort-elle, et pourquoi maintenant ? Une évaluation de vulnérabilité de routine est un document interne. Qu’elle se retrouve à la une d’un grand quotidien relève d’un choix, pas du hasard.

Plusieurs lectures coexistent, sans s’exclure. Le récit des « drones espions » se vend mieux qu’un « signal de présence mal maîtrisé », et la formule oriente déjà la perception avant même qu’on entre dans le détail technique. Le calendrier compte aussi : depuis la visite de Keir Starmer en Chine en janvier 2026, la dépendance de la défense britannique à des composants exposés à Pékin est un sujet politiquement inflammable, et une fuite de ce genre alimente directement cette ligne critique. Le ministère, en confirmant vite et en minimisant, reprend la main sur le récit et démontre au passage que ses contrôles ont fonctionné. L’opposition, elle, y trouve un angle d’attaque tout prêt, comme le montre la sortie d’Alicia Kearns.

Rien de tout cela n’est illégitime. Le contribuable qui a financé une flotte à douze millions de livres a le droit de savoir ce qu’il a acheté. Mais il faut garder en tête que l’affaire fonctionne aussi comme un objet de communication : une histoire de composant chinois dans du matériel britannique nourrit un narratif, indépendamment de la matérialité réelle du risque. Le fait même que ce soit publié nous renseigne autant sur l’état du débat stratégique que sur l’état des caméras.

Perdable ou capacitaire, il faudra choisir

Cette affaire ne restera pas dans l’histoire pour les données qu’elle aurait fait fuir, sans doute aucune. Elle compte parce qu’elle montre, sur un cas net, ce qui manque encore à l’assurance des plateformes navales autonomes : une visibilité réelle sur les sous-traitants de rang deux et trois, une caractérisation du comportement réseau de chaque charge utile avant qu’elle ne touche un site opérationnel, et une exigence de souveraineté qui descende jusqu’à la nomenclature, pas seulement jusqu’au logo sur la coque. La bonne nouvelle, c’est que le contrôle de routine a fonctionné : la faille a été trouvée avant le déploiement dans le Golfe. La moins bonne, c’est qu’il a fallu attendre qu’une caméra se mette à battre pour découvrir qu’on ne savait pas ce qu’on avait acheté.

Un dernier point, et non le moindre : ne réduisons pas l’affaire à une histoire de composant chinois. Notre propre matériel, occidental et même européen, n’est pas à l’abri du même travers, souvent sous des habits plus présentables : télémétrie produit, « optimisation » ou supervision du réseau, maintenance à distance. Le mécanisme est identique, un flux sortant qu’on n’a ni explicitement voulu ni caractérisé, et il peut même faire pire qu’un simple battement, car un équipementier de confiance n’a jamais à forcer la porte : il est déjà à l’intérieur. Ainsi, la moindre des choses, quand on émet régulièrement la position d’un terminal d’un de ses clients, c’est de le prévenir pour qu’il en ait conscience. À bon entendeur…

Reste la vraie question de fond, celle que cette affaire pose sans y répondre : peut-on tenir dans la même main un drone qu’on accepte de perdre et un drone à qui l’on confie du renseignement ? J’ai tendance à penser que non, et qu’il faudra assumer deux familles distinctes. D’un côté, des engins réellement perdables, produits en masse et à bas coût, cantonnés à des missions où la compromission de leurs données ne coûte pas grand-chose, et coupés de tout ce qui est sensible. Cela ne les dispense pas d’être robustes : un drone jetable doit tout de même remplir sa mission, et résister à qui chercherait à le neutraliser ou à le retourner. Si une nation adverse peut prendre la main sur un engin perdable ou le mettre hors service à distance, elle a déjà gagné, et l’économie faite sur le matériel se paie au prix fort. Pour cette famille, la cybersécurité vise donc d’abord la disponibilité et l’intégrité de la mission. De l’autre, des engins capacitaires, moins nombreux et plus chers, dont on connaît chaque composant et chaque flux, où s’ajoute l’enjeu du renseignement à protéger, et qu’on réserve aux zones sensibles. Le péché du K3 Scout, au fond, c’est d’avoir voulu être les deux à la fois : du matériel de forces spéciales monté avec la désinvolture du consommable.

Sources

• [1] The Telegraph, annonce de l’enquête (10 août 2026)
• [2] Le Figaro, « Royaume-Uni : des drones de la Royal Navy ont secrètement transmis des données à la Chine » (10 août 2026)
• [3] Navy Lookout, commande de 20 USV K3 Scout au titre du projet Beehive
• [4] GB News, réaction et démenti du ministère britannique de la Défense
• [5] PA Media via AOL, détails de l’affaire et déclarations de Kraken Technology Group
• [6] France Cyber Maritime, livre blanc « Cybersécurité des drones maritimes et navires autonomes » (2023)
• [7] Règlement (UE) 2024/2847 sur la cyberrésilience (Cyber Resilience Act), EUR-Lex