Enquête cyber à bord de deux pétroliers dans le golfe du Mexique

Le 15 septembre 2026, les garde-côtes américains ont reconnu qu’une équipe cyber fédérale était montée à bord d’un pétrolier en route vers le Texas. Le lendemain, on apprend de plusieurs sources que deux navires auraient été concernés, puis que près de vingt navires de commerce faisaient l’objet d’une surveillance particulière. L’affaire avait commencé un mois plus tôt, par un récit publié à Téhéran.

Cet article est aussi disponible en anglais.

Le récit est arrivé… avant les faits

Le 20 août, l’agence de presse iranienne Tasnim publie une dépêche faisant savoir qu’un pétrolier à destination des États-Unis a subi une cyberattaque au passage du détroit de Gibraltar le 7 août [1]. Le compte-rendu est détaillé : trente heures sans communications satellite ni radio, puis une intrusion dans les systèmes de la salle des machines, régime moteur augmenté, débit de refroidissement réduit, surveillance des caisses de combustible et d’huile désactivée. L’agence Mehr publie le même texte une cinquantaine de minutes plus tard [2]. Les deux dépêches disent tenir leur lecture de « médias russophones citant des analystes russes de haut rang », une source que je n’ai pas retrouvée sur le web indexé et qui est sans doute un canal Telegram. La presse spécialisée suit, sans plus d’éléments.

Pendant trois semaines, l’histoire n’existe que par sa propre reprise : aucun communiqué d’un armateur, du gestionnaire, du registre (libérien), de l’autorité portuaire (de Gibraltar) ni des autorités (espagnoles ou marocaines).

Puis, le 15 septembre, un porte-parole des United States Coast Guard répond aux questions de Bloomberg [3]. Des personnels des garde-côtes et du Federal Bureau of Investigation sont montés à bord d’un navire sous pavillon étranger le 21 août, après des indices montrant que son réseau avait été compromis. Le capitaine, l’équipage et le personnel à terre ont coopéré, et les garde-côtes ajoutent qu’aucune perturbation opérationnelle ni blessure n’a été constatée. Ni les garde-côtes ni le FBI ne nomment le navire. Le navire est identifié dès le lendemain par son gestionnaire technique et par la presse américaine : le VL Prosperity, un très grand transporteur de brut de 333 mètres immatriculé au Liberia sous le numéro OMI 9683697, chargé en Égypte et attendu au Texas.

La déclaration conjointe du 16 septembre

Une déclaration conjointe du FBI et des garde-côtes, publiée le 16 septembre, élargit le cadre [4]. En effet, on y apprend que les deux agences sont intervenues les 21 et 24 août sur des signalements de compromission réseau à bord de deux pétroliers de commerce sous pavillon étranger. Les deux navires présentaient des indices indiquant que leurs réseaux avaient été compromis par des cyberattaques. Une équipe interagences est montée à bord de chacun d’eux, dans le golfe du Mexique, pour évaluer l’intégrité des systèmes d’exploitation et d’information. La déclaration ajoute qu’il n’existe aucun signalement de perturbation opérationnelle, d’instabilité des navires, de danger physique pour les équipages ou d’impact environnemental, et elle ne désigne aucun responsable.

La composition de l’équipe est publiée pour la première fois [5]. Elle est constituée de personnel des garde-côtes américains et notamment d’une Coast Guard Cyber Protection Team (pour qui ce n’est pas une première…)¹, d’un inspecteur de navire et des opérateurs de la FBI Cyber Action Team. Ils ont embarqué le 21 août pour ce que les garde-côtes décrivent comme une visite de cybersécurité complète.

Le même jour, la contre-amirale Amy Grable, qui commande le Coast Guard Cyber Command, déclare à CBS que les enquêteurs ont bien trouvé une activité cyber malveillante à bord [6]. Elle ajoute que ce type d’attaque ne demande pas forcément une grande sophistication, et que son évènement le plus redouté serait plus celui d’un navire qui bloque un chenal ou un incident ayant un impact environnemental, ce qui ne s’est pas produit ici. Le même article donne la durée de l’opération : l’équipe est restée quatre jours à bord, du 21 au 24 août, donc encore présente le jour où le second navire a été visité.

Les données publiques de navigation citées dans le même article font partir le navire du terminal pétrolier égyptien de Sidi Kerir le 1^er août à destination de Galveston, et des responsables américains indiquent qu’il a ralenti à l’approche du détroit de Gibraltar au moment de la cyberattaque. C’est le premier élément venu du côté américain qui appuie le lieu et la date approximative, portés jusque-là par le seul récit iranien. Aucune date de compromission n’est publiée pour autant.

Le lendemain, la chaîne diffuse l’entretien filmé, et la contre-amirale y précise ce qu’elle entend par sophistication [7]. Du code malveillant se trouve sans difficulté, disponible immédiatement, et l’arrivée de l’intelligence artificielle accélère, dit-elle, le rythme auquel les défenseurs doivent agir. Interrogée sur ce que l’on redoute lorsqu’un navire compromis approche d’un port américain, elle cite une collision, une explosion, le blocage du chenal pour les autres navires et une pollution. Le sujet montre également des images de la montée à bord du VL Prosperity, attribuées aux garde-côtes.

Le lancement du sujet va plus loin que ce qui est établi : le présentateur annonce que des pirates étrangers ont eu accès aux commandes d’un pétrolier de commerce, quand les deux agences n’ont décrit qu’un réseau compromis, sans nommer aucune fonction du bord.

Le récit de la salle des machines n’a pas été confirmé

Le gestionnaire technique du premier navire, HMM Ocean Service, a confirmé la visite du bâtiment qu’il exploite. L’entreprise indique appliquer des protocoles cyber rigoureux et attendre le rapport définitif des autorités américaines [8]. Les garde-côtes ont depuis autorisé le navire à reprendre ses opérations normales.

Rien de tout cela ne vient valider les compromissions décrites initialement. Les enquêteurs cherchaient du code malveillant et ont ratissé les systèmes informatiques du bord, la crainte de la contre-amirale Grable étant leur connexion aux systèmes qui commandent la propulsion et la navigation. Ils n’ont trouvé aucun élément indiquant que le navire était devenu dangereux à naviguer, et les garde-côtes doivent remettre à l’armateur des recommandations de correctifs. Ce constat porte sur l’état du bâtiment au 21 août, deux semaines après les faits allégués dans le détroit, et ne dit rien de ce qui s’y est passé. L’activité malveillante est située dans les systèmes informatiques du navire, sans qu’aucune fonction soit nommée : ni la propulsion, ni l’appareil à gouverner, ni la gestion de cargaison, ni l’ECDIS, ni l’AIS ne sont mis en cause par quoi que ce soit de publié au 17 septembre.

Rob Lee, qui dirige la société de cybersécurité industrielle Dragos, juge le détail technique publié par les agences iraniennes réaliste pour ce type de navire, ce qui le rend plausible sans le corroborer.

Restent deux affirmations qui ne se recouvrent pas : une compromission de réseau de bord établie par les autorités, et une avarie machine racontée par une source unique.

Aucune attribution pour l’instant

Aucun responsable n’est nommé dans la déclaration conjointe. C’est bien évidemment trop tôt, et il faut laisser le temps aux équipes d’investiguer. Des responsables américains cités anonymement indiquent que l’hypothèse d’une implication de l’Iran, ou d’un autre acteur cherchant à exploiter le conflit en cours, fait partie de l’enquête [9]. C’est une hypothèse d’enquête, et elle n’engage rien de plus. Que la presse d’État iranienne ait publié l’affaire avant toute reconnaissance américaine dit quelque chose de la circulation de l’information, mais laisse la question de l’auteur ouverte.

Le même sujet signale un bulletin de renseignement du Department of Homeland Security, diffusé aux forces de l’ordre la semaine précédente et obtenu par la chaîne, selon lequel l’Iran emploie des outils d’intelligence artificielle chinois pour documenter les infrastructures énergétiques américaines en vue d’une attaque possible. Ce bulletin n’est pas public et ne porte pas sur les deux navires. Il indique où en sont les agences américaines sur l’Iran au moment où elles ouvrent ces deux enquêtes, et rien de plus.

Le second navire

La déclaration conjointe ne nomme aucun des deux bâtiments. Dans la première version de son article, publiée dans la nuit du 15 au 16 septembre, le Wall Street Journal écrit que les deux navires transportaient l’un du pétrole, l’autre du gaz naturel liquéfié [10]. Le rapprochement des mouvements de navires conduisait déjà au Kohaku, un transporteur de gaz de 91 000 mètres cubes construit en 2023 et immatriculé aux Îles Marshall sous le numéro OMI 9932608, qui se trouvait dans le golfe du Mexique sur la période et a quitté Nederland, au Texas, le 28 août. Seule la cargaison ne collait pas, ce navire transportant du gaz de pétrole liquéfié. Le journal corrige dès le soir du 16 septembre : sa nouvelle version parle d’un pétrolier et d’un transporteur de gaz de pétrole liquéfié. Le 17 septembre au soir, Lloyd’s List nomme le Kohaku [11], et le Jerusalem Post attribue le même nom au Wall Street Journal deux heures plus tard [12].

Ce que la déclaration conjointe apporte sur ce navire n’est pas mince. Jusqu’au 16 septembre, le second cas reposait sur un article de presse affirmant que deux pétroliers avaient été attaqués, avec une compromission établie pour un seul d’entre eux. Les deux agences écrivent désormais que les réseaux des deux navires présentaient des indices de compromission. Le second dossier passe donc du récit au constat officiel, sans qu’aucun système de bord précis soit désigné.

Près de vingt navires sous surveillance

Le gouvernement américain suit par ailleurs des cybermenaces visant près de vingt navires de commerce dans le monde, a rapporté Bloomberg le 16 septembre [13]. Les garde-côtes les suivent avec le FBI et des unités du Department of Homeland Security, et ils ont demandé à être prévenus à l’avance si l’un de ces navires prévoit d’entrer dans un port américain. Un responsable de la Cybersecurity and Infrastructure Security Agency ajoute que plusieurs navires de commerce ont été ciblés fin août par de possibles cyberattaques, et que les attaquants ne semblent pas avoir pris le contrôle des navires eux-mêmes.

La demande de préavis avant escale est la partie qui touche le plus directement un exploitant, parce qu’elle transforme une image de la menace en instrument de contrôle par l’État du port. Un navire inscrit sur cette liste se présente aux États-Unis avec une visite probable devant lui, et avec le risque d’un ordre du capitaine de port américain qui conditionne ou retarde son entrée. Un créneau de quai manqué et quelques jours d’immobilisation coûtent souvent plus cher que l’incident lui-même. Le préavis se superpose par ailleurs à la notification d’arrivée déjà exigée quatre-vingt-seize heures avant l’escale, ce qui laisse peu de marge pour découvrir la situation au dernier moment.

Ni le pavillon ni l’exploitant de ces navires ne sont divulgués, et rien n’indique qu’un armateur soit prévenu de la présence du sien sur la liste : le premier signe peut être l’appel des garde-côtes. La base juridique de la demande n’est pas davantage précisée, et un bulletin d’information de sécurité maritime n’a pas la même portée qu’un contact informel avec les armements. Elle s’ajoute au dispositif que les garde-côtes déploient depuis 2025 sur la cybersécurité des navires et des installations, dont j’ai détaillé le volet évaluation et dérogations.

Le vecteur reste inconnu

Ce dossier ne dit toujours rien du vecteur, du code employé, du point d’entrée ni de la persistance, pour aucun des deux navires. Un exploitant en aurait besoin pour vérifier s’il est exposé de la même manière. Le rapport définitif qu’attend HMM Ocean Service les contient peut-être. Rien ne dit qu’il sera public.

Un troisième navire a depuis signalé un incident du même ordre. Le méthanier Vivit Africa, parti de Louisiane avec du gaz naturel liquéfié, n’a pas livré sa cargaison en Adriatique et cherche toujours une solution au large de Barcelone. Aucune source publiée ne le relie à ces deux dossiers, et je le traite dans l’article consacré à ce méthanier.

Mise à jour du 2 octobre 2026

Bloomberg écrit le 2 octobre que les enquêteurs du FBI et des garde-côtes ont trouvé la trace d’un accès à un système numérique relié à la propulsion du VL Prosperity pendant son approche de la côte texane [14], dépêche reprise le 5 octobre par Insurance Journal sous les signatures de Jake Bleiberg et Ruth Liao [15]. Une fonction du bord est nommée pour la première fois depuis le début de l’affaire.

L’article pose lui-même deux limites. L’accès est qualifié de temporaire et porte sur un système relié à la propulsion, ce qui ne dit pas que la propulsion a reçu un ordre. Et les enquêteurs n’ont établi ni le mode d’entrée, ni la durée de l’accès, ni l’auteur, ni les fonctions qui leur étaient ouvertes. Le FBI s’en tient à sa déclaration du 16 septembre : aucune perturbation opérationnelle, aucune instabilité du navire, aucun danger physique pour les équipages, aucune atteinte à l’environnement.

Le constat publié porte donc sur un accès dont aucun effet n’a été mesuré. La dépêche du 20 août décrivait un régime moteur augmenté, un refroidissement réduit et la surveillance des caisses de combustible et d’huile désactivée. Rien de publié ne relie encore les deux descriptions, et la phrase du 17 septembre sur l’absence de fonction nommée tombe sur ce seul point.

Un chiffre de la même semaine replace ces deux visites dans un ensemble. La contre-amirale Grable a indiqué à CBS que celle du 21 août était l’une des quarante à cinquante missions conduites par son équipe de protection cyber sur l’année écoulée [6]. Deux sont devenues publiques.

Sources

• [1] Tasnim News Agency, US-bound oil tanker targeted in cyberattack, 20 août 2026
• [2] Mehr News Agency, US-bound oil tanker targeted in cyberattack, 20 août 2026
• [3] Reuters, US Coast Guard boarded Texas-bound oil tanker to investigate cyberattack, Bloomberg News reports, 15 septembre 2026
• [4] CyberScoop, Coast Guard, FBI board US-bound foreign ships in order to probe for cyberattacks, 16 septembre 2026
• [5] The Record, Coast Guard, FBI boarded tanker after attack by « foreign cyber actors », 16 septembre 2026
• [6] CBS News, Coast Guard and FBI boarded 2 energy tankers due to cyberattacks. How big is the risk?, 16 septembre 2026
• [7] CBS News, Coast Guard’s cyber command chief says « we need to take action » after tanker hack, 17 septembre 2026
• [8] CBS News, Coast Guard, FBI boarded Texas-bound commercial oil tanker to investigate cyberattack, 16 septembre 2026
• [9] ABC News, Coast Guard, FBI investigating after 2 oil tankers bound for US hit with cyberattacks, 16 septembre 2026
• [10] The Wall Street Journal, U.S. Probes Cyberattacks on Energy Tankers Bound for American Coast, 16 septembre 2026
• [11] Lloyd’s List, US probes suspected Iran-linked cyber attacks on tankers bound for Texas, 17 septembre 2026
• [12] The Jerusalem Post, US probing Iran ties to cyberattack on energy tanker, 17 septembre 2026
• [13] gCaptain, U.S. tracks cyber threats against nearly 20 ships worldwide, 16 septembre 2026
• [14] Bloomberg, Hackers Breached Propulsion System of U.S.-Bound Oil Tanker, 2 octobre 2026
• [15] Insurance Journal, Hackers Breached Propulsion System of US-Bound Oil Tanker, reprise de la dépêche Bloomberg, 5 octobre 2026