Enquête cyber à bord de deux pétroliers dans le golfe du Mexique

Le 15 septembre 2026, les garde-côtes américains ont reconnu qu’une équipe cyber fédérale était montée à bord d’un pétrolier en route vers le Texas. Le lendemain, on apprend de plusieurs sources que deux navires auraient été concernés, puis que près de vingt navires de commerce faisaient l’objet d’une surveillance particulière. L’affaire avait commencé un mois plus tôt, par un récit publié à Téhéran.

Cet article est aussi disponible en anglais.

Le récit est arrivé… avant les faits

Le 20 août, l’agence de presse iranienne Tasnim publie une dépêche faisant savoir qu’un pétrolier à destination des États-Unis a subi une cyberattaque au passage du détroit de Gibraltar le 7 août [1]. Le compte-rendu est détaillé : trente heures sans communications satellite ni radio, puis une intrusion dans les systèmes de la salle des machines, régime moteur augmenté, débit de refroidissement réduit, surveillance des caisses de combustible et d’huile désactivée. L’agence Mehr reprend ensuite la dépêche, puis la presse spécialisée suit, sans plus d’éléments.

Pendant trois semaines, l’histoire n’existe que par sa propre reprise : aucun communiqué d’un armateur, du gestionnaire, du registre (libérien), de l’autorité portuaire (de Gibraltar) ni des autorités (espagnoles ou marocaines).

Puis, le 15 septembre, un porte-parole des United States Coast Guard répond aux questions de Bloomberg [2]. Des personnels des garde-côtes et du Federal Bureau of Investigation sont montés à bord d’un navire sous pavillon étranger le 21 août, après des indices montrant que son réseau avait été compromis. Le capitaine, l’équipage et le personnel à terre ont coopéré, et les garde-côtes ajoutent qu’aucune perturbation opérationnelle ni blessure n’a été constatée. Ni les garde-côtes ni le FBI ne nomment le navire. Les reprises et le gestionnaire désignent le VL Prosperity, un très grand transporteur de brut de 333 mètres immatriculé au Liberia sous le numéro OMI 9683697, chargé en Égypte et attendu au Texas.

La déclaration conjointe du 16 septembre

Une déclaration conjointe du FBI et des garde-côtes, publiée le 16 septembre, élargit le cadre [3]. En effet, on y apprend que les deux agences sont intervenues les 21 et 24 août sur des signalements de compromission réseau à bord de deux pétroliers de commerce sous pavillon étranger. Les deux navires présentaient des indices indiquant que leurs réseaux avaient été compromis par des cyberattaques. Une équipe interagences est montée à bord de chacun d’eux, dans le golfe du Mexique, pour évaluer l’intégrité des systèmes d’exploitation et d’information. La déclaration ajoute qu’il n’existe aucun signalement de perturbation opérationnelle, d’instabilité des navires, de danger physique pour les équipages ou d’impact environnemental, et elle ne désigne aucun responsable.

La composition de l’équipe est publiée pour la première fois [4]. Elle est constituée de personnel des garde-côtes américains et notamment d’une Coast Guard Cyber Protection Team (pour qui ce n’est pas une première…)¹, d’un inspecteur de navire et des opérateurs de la FBI Cyber Action Team. Ils ont embarqué le 21 août pour ce que les garde-côtes décrivent comme une visite de cybersécurité complète.

Le même jour, la contre-amirale Amy Grable, qui commande le Coast Guard Cyber Command, déclare à CBS que les enquêteurs ont bien trouvé une activité cyber malveillante à bord [5]. Elle ajoute que ce type d’attaque ne demande pas forcément une grande sophistication, et que son évènement le plus redouté serait plus celui d’un navire qui bloque un chenal ou un incident ayant un impact environnemental, ce qui ne s’est pas produit ici.

Le récit de la salle des machines n’a pas été confirmé

Le gestionnaire technique du premier navire, HMM Ocean Service, a confirmé la visite du bâtiment qu’il exploite. L’entreprise indique appliquer des protocoles cyber rigoureux et attendre le rapport définitif des autorités américaines [6]. Les garde-côtes ont depuis autorisé le navire à reprendre ses opérations normales.

Rien de tout cela ne vient valider les compromissions décrites initialement. Les agences disent avoir évalué l’intégrité des systèmes d’exploitation et d’information, mais sans rien dire de son résultat. La contre-amirale Grable situe l’activité malveillante dans les systèmes informatiques du navire, sans nommer de fonction. Ni la propulsion, ni l’appareil à gouverner, ni la gestion de cargaison, ni l’ECDIS, ni l’AIS ne sont mis en cause par quoi que ce soit de publié.

Restent deux affirmations qui ne se recouvrent pas : une compromission de réseau de bord établie par les autorités, et une avarie machine racontée par une source unique.

Aucune attribution pour l’instant

Aucun responsable n’est nommé dans la déclaration conjointe. C’est bien évidemment trop tôt, et il faut laisser le temps aux équipes d’investiguer. Des responsables américains cités anonymement indiquent que l’hypothèse d’une implication de l’Iran, ou d’un autre acteur cherchant à exploiter le conflit en cours, fait partie de l’enquête [7]. C’est une hypothèse d’enquête, et elle n’engage rien de plus. Que la presse d’État iranienne ait publié l’affaire avant toute reconnaissance américaine dit quelque chose de la circulation de l’information, mais laisse la question de l’auteur ouverte.

Le second navire, le Kohaku

La déclaration conjointe ne nomme aucun des deux bâtiments. C’est, selon toute vraisemblance, le Kohaku, un transporteur de gaz de 91 000 mètres cubes construit en 2023, immatriculé aux Îles Marshall sous le numéro OMI 9932608. Le Wall Street Journal le nomme aux côtés du VL Prosperity [8], et les registres maritimes confirment ses caractéristiques. Il faisait route vers les États-Unis pour y charger du gaz de pétrole liquéfié, ce qui lève l’écart avec les reprises qui décrivaient un transporteur de gaz naturel liquéfié.

Ce que la déclaration conjointe apporte sur ce navire n’est pas mince. Jusqu’au 16 septembre, le second cas reposait sur un article de presse affirmant que deux pétroliers avaient été attaqués, avec une compromission établie pour un seul d’entre eux. Les deux agences écrivent désormais que les réseaux des deux navires présentaient des indices de compromission. Le second dossier passe donc du récit au constat officiel, sans qu’aucun système de bord précis soit désigné.

Près de vingt navires sous surveillance

Le gouvernement américain suit par ailleurs des cybermenaces visant près de vingt navires de commerce dans le monde, a rapporté Bloomberg le 16 septembre [9]. Les garde-côtes les suivent avec le FBI et des unités du Department of Homeland Security, et ils ont demandé à être prévenus à l’avance si l’un de ces navires prévoit d’entrer dans un port américain. Un responsable de la Cybersecurity and Infrastructure Security Agency ajoute que plusieurs navires de commerce ont été ciblés fin août par de possibles cyberattaques, et que les attaquants ne semblent pas avoir pris le contrôle des navires eux-mêmes.

La demande de préavis avant escale est la partie qui touche le plus directement un exploitant, parce qu’elle transforme une image de la menace en instrument de contrôle par l’État du port. Un navire inscrit sur cette liste se présente aux États-Unis avec une visite probable devant lui, et avec le risque d’un ordre du capitaine de port américain qui conditionne ou retarde son entrée. Un créneau de quai manqué et quelques jours d’immobilisation coûtent souvent plus cher que l’incident lui-même. Le préavis se superpose par ailleurs à la notification d’arrivée déjà exigée quatre-vingt-seize heures avant l’escale, ce qui laisse peu de marge pour découvrir la situation au dernier moment.

Ni le pavillon ni l’exploitant de ces navires ne sont divulgués, et rien n’indique qu’un armateur soit prévenu de la présence du sien sur la liste : le premier signe peut être l’appel des garde-côtes. La base juridique de la demande n’est pas davantage précisée, et un bulletin d’information de sécurité maritime n’a pas la même portée qu’un contact informel avec les armements. Elle s’ajoute au dispositif que les garde-côtes déploient depuis 2025 sur la cybersécurité des navires et des installations, dont j’ai détaillé le volet évaluation et dérogations.

Le vecteur reste inconnu

Ce dossier ne dit toujours rien du vecteur, du code employé, du point d’entrée ni de la persistance, pour aucun des deux navires. Un exploitant en aurait besoin pour vérifier s’il est exposé de la même manière. Le rapport définitif qu’attend HMM Ocean Service les contient peut-être. Rien ne dit qu’il sera public.

Sources

• [1] Tasnim News Agency, US-bound oil tanker targeted in cyberattack, 20 août 2026
• [2] Reuters, US Coast Guard boarded Texas-bound oil tanker to investigate cyberattack, Bloomberg News reports, 15 septembre 2026
• [3] CyberScoop, Coast Guard, FBI board US-bound foreign ships in order to probe for cyberattacks, 16 septembre 2026
• [4] The Record, Coast Guard, FBI boarded tanker after attack by « foreign cyber actors », 16 septembre 2026
• [5] CBS News, Coast Guard and FBI boarded 2 energy tankers due to cyberattacks. How big is the risk?, 16 septembre 2026
• [6] CBS News, Coast Guard, FBI boarded Texas-bound commercial oil tanker to investigate cyberattack, 16 septembre 2026
• [7] ABC News, Coast Guard, FBI investigating after 2 oil tankers bound for US hit with cyberattacks, 16 septembre 2026
• [8] The Wall Street Journal, U.S. Probes Cyberattacks on Energy Tankers Bound for American Coast, 16 septembre 2026
• [9] gCaptain, U.S. tracks cyber threats against nearly 20 ships worldwide, 16 septembre 2026