MAST, matrice des attaques cyber maritime

Depuis la création de ce blog, je collecte régulièrement les évènements publics de cybersécurité maritime à des fins de recherche et d’analyse. Vous me demandez régulièrement de faire de nouvelles statistiques ou analyses, et je prends vos propositions avec beaucoup d’intérêt, car cela montre l’importance de ce travail que j’appelle l’incidentologie. Mieux comprendre le passé et le présent, c’est aussi mieux préparer l’avenir et se protéger. Mieux connaître son adversaire, c’est aussi mieux se défendre. J’ai donc analysé les 4 751 évènements cyber actuellement en base pour les classer, au mieux, selon le référentiel MITRE ATT&CK Enterprise (Adversarial Tactics, Techniques, and Common Knowledge) [1], qui décrit les modes d’action des attaquants. Les colonnes correspondent aux tactiques, c’est-à-dire aux objectifs de l’attaquant, et les cases aux techniques, avec le nombre d’évènements qui les décrivent. Plus la couleur d’une case est marquée, plus ce nombre est élevé. L’intérêt de ce type d’analyse est de vous permettre de voir quelles techniques les attaquants emploient réellement contre le maritime, et de les rapprocher de vos propres mesures de détection et de protection. Petit mode d’emploi : cliquer sur une case affiche la répartition de la technique par année, pays de la victime, bassin et activité, ainsi que les faiblesses logicielles (CWE, Common Weakness Enumeration) et les vulnérabilités exploitées (CVE, Common Vulnerabilities and Exposures), lorsqu’on les connaît. Les CVE d’équipements maritimes figurent dans la liste des CVE maritimes.

Quelques biais sont à connaître avant d’en tirer des conclusions : 2 544 fiches sur 4 751 décrivent un déni de service, ce qui rend ce type d’attaque surreprésenté. Mais, justement, c’est tout l’intérêt de ce type de matrice, qui permet de « zoomer » sur la partie qui vous intéresse. À l’inverse, les techniques de préparation et d’accès initial sont sous-représentées, parce que les sources décrivent généralement l’impact et que l’investigation complète est rarement rendue publique. Le jeu de données s’appuie pourtant sur 6 355 références distinctes, issues de 2 514 sites. Une technique non écrite dans la fiche n’est donc pas déduite, et le faire poserait un problème d’éthique ou de biais. Donc l’absence d’une technique ne dit rien de sa fréquence réelle. On peut penser par exemple au cas des cleptogiciels (infostealers) ou de l’hameçonnage, très clairement sous-représentés mais peu décrits dans les incidents. Pour les rançongiciels, sur 1 123 fiches, 71 écrivent un chiffrement des fichiers de la victime (T1486), 87 confirment l’attaque sans parler de chiffrement, 244 ne décrivent qu’un vol de données et 721 se limitent à l’annonce sur un site de fuite (leak site) ou à une pratique générale du groupe.

Ces comptes sont recalculés chaque mois, pour prendre en compte les nouveaux évènements et ceux qui ont pu être enrichis. La dernière génération remonte au : 27/10/2026 08:55 UTC.

Cette matrice se nomme MAST (Maritime Attack Standard Techniques). Sa citation, ou celle d’un chiffre, est libre avec la mention « Source : cybermaretique.fr, MAST, matrice des attaques cyber maritime, https://cybermaretique.fr/mast/ » et la date de consultation. La reproduction de la matrice ou de ses données exige une autorisation écrite préalable. MITRE ATT&CK est une marque de The MITRE Corporation, utilisée selon les conditions publiées par MITRE.

[1] MITRE ATT&CK, https://attack.mitre.org/